怎样用Python脚本自动化检测网站SSL证书是否即将过期？-Python教程-PHP中文网

python用ssl模块可直接连接tls服务器并解析证书notafter字段，通过wrap_socket()、getpeercert()和cert_time_to_seconds()获取utc到期时间戳，结合可配阈值判断是否即将过期，多域名检测宜用threadpoolexecutor并发控制并记录ip、签发者等上下文。

怎样用python脚本自动化检测网站ssl证书是否即将过期？

用 `ssl` 模块直接连接并读取证书有效期

Python 标准库的 ssl 模块能绕过浏览器、不依赖第三方服务，直接建立 TLS 连接并提取原始证书。关键不是“验证证书是否可信”，而是“拿到它、解析它、看 notAfter”。

常见错误是直接用 requests.get() —— 它默认校验证书链且失败就抛 SSLError，反而拿不到即将过期（但尚未过期）的证书信息。

必须用 ssl.create_default_context().wrap_socket() 手动建连接，传 server_hostname 支持 SNI
调用 sock.getpeercert() 得到字典格式证书信息，notAfter 是 PEM 时间字符串，如 'Sep 15 12:34:56 2025 GMT'
用 ssl.cert_time_to_seconds() 转成时间戳，比手写 strptime 更可靠（它内部处理了多种 OpenSSL 时间格式）

判断“即将过期”的阈值逻辑怎么设才合理

硬写“提前 7 天告警”看似简单，实际容易误报：有些证书签发周期短（如 Let’s Encrypt 的 90 天），运维习惯提前 30 天续订；而企业内部长期证书可能提前 90 天就要走审批流程。阈值必须可配，且区分域名。

Secure Python Code Sandbox

安全 Python 代码沙箱：在隔离的沙箱中执行任意 Python 代码，预装 requests、NumPy、pandas 库。返回 stdout、stderr。

下载

建议把域名和预警天数写进配置文件（如 JSON 或 YAML），例如 {"example.com": 14, "api.internal": 30}
避免用固定时间差比较：先算证书到期时间戳，再减去当前时间戳，除以 86400 得剩余天数，再和阈值比
注意时区：ssl.cert_time_to_seconds() 返回的是 UTC 时间戳，time.time() 也是 UTC，无需手动转换时区

批量检测多个域名时如何避免阻塞和超时

逐个同步连接会极慢，尤其跨地域或部分站点响应差。但盲目上 asyncio + aiohttp 不行——aiohttp 不暴露底层 SSL 证书，没法取 notAfter。

推荐用 concurrent.futures.ThreadPoolExecutor 控制并发数（如 10），每个线程跑一个独立的 ssl 连接
务必给 socket.connect() 设超时（如 sock.settimeout(5)），否则 DNS 解析失败或防火墙拦截会导致线程卡死
捕获具体异常：socket.timeout、ConnectionRefusedError、ssl.SSLCertVerificationError（说明证书链有问题，但也可能是自签名），分别记录，别让一个失败中断全部检测

输出结果要带上下文，不能只扔个日期

告警信息里只有 “2025-09-15” 没用。运维看到得立刻知道：这是哪个域名？连的是哪个 IP（防止 CNAME 指向错误）？证书由谁签发？是否用了通配符？

sock.getpeercert() 返回的字典里有 subject（含 CN）、issuer、subjectAltName，全打出来
用 socket.gethostbyname(domain) 或 socket.getaddrinfo() 记下实际解析的 IP，避免 DNS 缓存干扰判断
错误情况也要结构化输出：比如 “shop.example.com: timeout after 5s (resolved to 203.0.113.42)”

真正难的不是取证书，而是把一堆零散的 notAfter 字符串，变成人能快速定位、机器能自动触发续订流程的上下文数据。别省那几行日志。