SSL 证书一旦过期，浏览器会直接显示“不安全”或“连接已阻断”，导致网站无法正常访问，用户流失严重。手动检查证书有效期非常容易遗忘，因此需要一套自动化的监控提醒机制。本教程将教你使用三种主流方法配置证书到期提醒，涵盖服务器端脚本、第三方监控平台以及企业微信/钉钉/邮件推送，确保证书到期前30天、7天、1天都能收到告警。
---
## 前置准备
- 一台Linux服务器（CentOS 7/8、Ubuntu 20.04/22.04均可）或Windows Server（本教程以Linux为例）
- 服务器上已安装OpenSSL（一般系统自带，可通过`openssl version`验证）
- 一个用于接收告警的邮箱（支持SMTP发送）或企业微信机器人Webhook地址
- 如果使用第三方监控平台，需要注册UptimeRobot或Pingdom账号（免费版即可）
- 基本的命令行操作能力（会使用vim/nano编辑文件、crontab设置定时任务）
---
## 分步操作步骤
### 方法一：使用Shell脚本 + 邮件告警（最通用，适合所有Linux服务器）
**1. 创建证书检查脚本**
登录服务器，切换到`/usr/local/bin`目录（或其他自定义脚本目录），创建一个名为`ssl_check.sh`的文件：
```bash
cd /usr/local/bin
sudo vim ssl_check.sh
```
**2. 写入核心检查逻辑**
在脚本中粘贴以下内容（注意替换域名和邮箱）：
```bash
#!/bin/bash
# 配置部分 - 根据实际情况修改
DOMAINS=("example.com" "www.example.com" "api.example.com") # 要监控的域名列表
THRESHOLD_DAYS=30 # 提前多少天开始告警
SMTP_SERVER="smtp.qq.com"
SMTP_PORT=587
SMTP_USER="your_email@qq.com"
SMTP_PASS="你的SMTP授权码" # 不是QQ密码，是开启SMTP后生成的授权码
ALERT_EMAIL="admin@yourcompany.com" # 接收告警的邮箱
# 函数：发送邮件
send_mail() {
local subject="$1"
local body="$2"
echo -e "Subject: $subject\n\n$body" | msmtp --account=default -t "$ALERT_EMAIL"
}
# 遍历每个域名
for domain in "${DOMAINS[@]}"; do
# 获取证书过期时间（秒级时间戳）
expiry_date=$(echo | openssl s_client -servername "$domain" -connect "$domain":443 2>/dev/null | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)
if [ -z "$expiry_date" ]; then
echo "[$(date)] $domain: 无法获取证书信息，可能域名未指向本机或端口不通" >> /var/log/ssl_check.log
continue
fi
# 将过期时间转为时间戳
expiry_timestamp=$(date -d "$expiry_date" +%s 2>/dev/null)
if [ -z "$expiry_timestamp" ]; then
echo "[$(date)] $domain: 日期解析失败，原始日期：$expiry_date" >> /var/log/ssl_check.log
continue
fi
# 当前时间戳
current_timestamp=$(date +%s)
# 计算剩余天数
remaining_days=$(( (expiry_timestamp - current_timestamp) / 86400 ))
# 判断是否需要告警
if [ $remaining_days -le 0 ]; then
send_mail "⚠️ 紧急：$domain SSL证书已过期" "域名 $domain 的SSL证书已于 $expiry_date 过期，请立即更新！"
elif [ $remaining_days -le $THRESHOLD_DAYS ]; then
send_mail "⚠️ 提醒：$domain SSL证书将在 $remaining_days 天后过期" "域名 $domain 的SSL证书将于 $expiry_date 过期，剩余 $remaining_days 天，请安排更新。"
echo "[$(date)] $domain: 剩余 $remaining_days 天，已发送提醒邮件" >> /var/log/ssl_check.log
else
echo "[$(date)] $domain: 剩余 $remaining_days 天，正常" >> /var/log/ssl_check.log
fi
done
```
**3. 安装邮件发送工具msmtp**
大多数Linux发行版不自带msmtp，需要手动安装：
```bash
# CentOS/RHEL
sudo yum install epel-release -y
sudo yum install msmtp msmtp-mta -y
# Ubuntu/Debian
sudo apt update
sudo apt install msmtp msmtp-mta -y
```
**4. 配置msmtp**
创建配置文件`~/.msmtprc`：
```bash
vim ~/.msmtprc
```
写入以下内容（以QQ邮箱为例，其他邮箱修改SMTP地址和端口）：
```
defaults
auth on
tls on
tls_trust_file /etc/ssl/certs/ca-certificates.crt
account default
host smtp.qq.com
port 587
from your_email@qq.com
user your_email@qq.com
password your_smtp_authorization_code
```
保存后设置权限（密码明文存储，必须限制访问）：
```bash
chmod 600 ~/.msmtprc
```
**5. 测试脚本**
先手动运行脚本测试：
```bash
chmod +x /usr/local/bin/ssl_check.sh
bash /usr/local/bin/ssl_check.sh
```
如果配置正确，你会收到测试邮件（如果当前证书剩余天数小于30天）。同时检查日志文件：
```bash
cat /var/log/ssl_check.log
```
如果出现“连接超时”或“证书获取失败”，请确认域名能正常通过443端口访问。
**6. 设置定时任务（每天检查一次）**
编辑crontab：
```bash
crontab -e
```
添加以下行（每天上午9点执行）：
```
0 9 * * * /bin/bash /usr/local/bin/ssl_check.sh
```
保存后，用`crontab -l`验证是否生效。如果想测试定时任务是否正常运行，可以临时设置一个近期的执行时间（例如下一分钟），然后观察日志。
---
### 方法二：使用UptimeRobot免费监控（无需服务器，只需域名）
**1. 注册并登录UptimeRobot**
访问[uptimerobot.com](https://uptimerobot.com)，使用邮箱注册免费账号。免费版支持50个监控器，每个监控器可设置5个告警联系人。
**2. 添加SSL证书监控**
登录后点击右上角“Add New Monitor”，选择监控类型为“Port”，因为我们要监控443端口。填写以下信息：
- **Friendly Name**：输入一个易识别的名称，例如“公司官网SSL”
- **URL**：输入你的域名，例如`example.com`（不要加https://）
- **Port**：选择`443 - HTTPS`
- **Monitoring Interval**：选择`5 minutes`（免费版最小间隔5分钟）
**3. 配置告警联系人**
点击“Add Alert Contact”，选择通知方式：
- **Email**：输入接收告警的邮箱，UptimeRobot会发送验证邮件，点击确认。
- **SMS**：需要付费，不推荐。
- **Webhook**：可以对接企业微信、钉钉机器人（需要自定义配置）。
建议至少添加一个邮箱联系人，并勾选“Send alerts when SSL certificate expires”。
**4. 设置SSL到期提醒阈值**
在监控器编辑页面，找到“SSL Certificate Expiry”部分：
- 勾选“Monitor SSL Certificate Expiry”
- 设置提醒天数：建议填写`30`（提前30天开始告警）
- 选择告警联系人：勾选刚才添加的联系人
**5. 验证监控是否生效**
保存后，等待5-10分钟，UptimeRobot会开始检测。你可以点击监控器名称，查看“SSL Certificate”选项卡，里面会显示证书签发机构、有效期、剩余天数。如果证书快到期，系统会自动发送邮件。
---
### 方法三：使用企业微信机器人 + Python脚本（适合团队协作）
**1. 创建企业微信群机器人**
打开企业微信，进入一个群聊，点击右上角“...”->“群机器人”->“添加”->“新机器人”，给机器人起名（例如“证书监控”），获取Webhook地址（格式类似`https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=xxxxx`）。
**2. 编写Python监控脚本**
在服务器上创建`ssl_wechat.py`：
```bash
vim /usr/local/bin/ssl_wechat.py
```
粘贴以下代码（需要Python3环境，一般系统自带）：
```python
#!/usr/bin/env python3
import subprocess
import json
import urllib.request
import datetime
import sys
# 配置部分
DOMAINS = ["example.com", "www.example.com"] # 监控域名列表
WEBHOOK_URL = "https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=你的key" # 替换为实际key
THRESHOLD_DAYS = 30 # 提前告警天数
def get_cert_expiry(domain):
"""通过openssl获取证书过期时间"""
cmd = f"echo | openssl s_client -servername {domain} -connect {domain}:443 2>/dev/null | openssl x509 -noout -enddate"
result = subprocess.run(cmd, shell=True, capture_output=True, text=True)
if result.returncode != 0:
return None
# 输出格式：notAfter=Jan 15 23:59:59 2025 GMT
expiry_str = result.stdout.strip().replace("notAfter=", "")
try:
expiry_date = datetime.datetime.strptime(expiry_str, "%b %d %H:%M:%S %Y %Z")
return expiry_date
except:
return None
def send_wechat_message(content):
"""发送消息到企业微信群"""
data = {
"msgtype": "markdown",
"markdown": {
"content": content
}
}
req = urllib.request.Request(
url=WEBHOOK_URL,
data=json.dumps(data).encode("utf-8"),
headers={"Content-Type": "application/json"}
)
try:
response = urllib.request.urlopen(req)
return response.status == 200
except Exception as e:
print(f"发送消息失败: {e}")
return False
def main():
alerts = []
for domain in DOMAINS:
expiry = get_cert_expiry(domain)
if expiry is None:
alerts.append(f"❌ **{domain}**：无法获取证书信息，请检查网络或域名")
continue
now = datetime.datetime.now()
remaining = (expiry - now).days
if remaining <= 0:
alerts.append(f"🚨 **{domain}**：证书已过期！过期时间：{expiry.strftime('%Y-%m-%d')}")
elif remaining <= THRESHOLD_DAYS:
alerts.append(f"⚠️ **{domain}**：证书将在 {remaining} 天后过期（{expiry.strftime('%Y-%m-%d')}）")
else:
print(f"{domain}: 正常，剩余{remaining}天")
if alerts:
content = "## SSL证书到期提醒\n" + "\n".join(alerts)
send_wechat_message(content)
if __name__ == "__main__":
main()
```
**3. 安装依赖并测试**
Python3标准库已包含所需模块，无需额外安装。直接运行：
```bash
python3 /usr/local/bin/ssl_wechat.py
```
如果配置正确，企业微信群会收到一条Markdown格式的告警消息。如果提示`urllib`模块找不到，请确认Python版本（Python 3.x自带urllib）。
**4. 设置定时任务**
同样使用crontab，每天执行一次：
```bash
crontab -e
```
添加：
```
0 10 * * * /usr/bin/python3 /usr/local/bin/ssl_wechat.py
```
注意：crontab中环境变量有限，建议使用Python的绝对路径（可通过`which python3`查看）。
---
## 常见问题
**Q1：脚本运行提示“openssl: command not found”**
A：服务器未安装OpenSSL。执行`sudo yum install openssl -y`（CentOS）或`sudo apt install openssl -y`（Ubuntu）。
**Q2：邮件发送失败，提示“authentication failed”**
A：检查SMTP授权码是否正确。QQ邮箱需要在设置->账户->POP3/IMAP/SMTP服务中生成授权码，不要使用QQ密码。其他邮箱（如163、Gmail）同样需要开启SMTP并获取专用密码。
**Q3：UptimeRobot检测显示“SSL Certificate Invalid”但实际证书正常**
A：可能原因：1）域名使用了CDN，CDN节点证书与源站不一致；2）证书链不完整。建议在UptimeRobot监控器设置中，勾选“Ignore SSL certificate errors”暂时跳过，同时检查CDN配置。
**Q4：企业微信机器人消息发送成功但群内未显示**
A：检查Webhook URL是否完整复制，注意key参数不能有空格。另外，企业微信机器人对Markdown格式有严格限制，不要使用复杂的表格或图片。
**Q5：监控脚本每天执行一次，但证书在周末过期怎么办？**
A：建议设置多个检查频率。例如crontab中增加每天下午6点再执行一次：`0 9,18 * * * /path/to/script`。或者使用UptimeRobot的5分钟检测间隔，更及时。
**Q6：证书剩余天数显示负数，脚本未发送告警**
A：检查脚本中的日期比较逻辑。如果剩余天数计算为负数，应触发“已过期”告警。确保`if [ $remaining_days -le 0 ]`条件正确，且脚本中`$remaining_days`变量未被错误截断。
**Q7：多个域名证书到期时间不同，如何统一管理？**
A：在脚本的`DOMAINS`数组中列出所有域名，脚本会逐个检查。也可以将域名列表放在外部文件（如`/etc/ssl_monitor_domains.txt`），脚本读取该文件，便于维护。
---
## 收尾总结
通过本教程，你掌握了三种SSL证书到期提醒的配置方法：Shell脚本+邮件适合单机管理，UptimeRobot适合无服务器环境且操作简单，企业微信机器人适合团队协作。建议将三种方法结合使用：本地脚本作为基础保障，UptimeRobot作为外部兜底监控，企业微信通知推送到工作群。配置完成后，记得定期检查脚本日志和监控平台状态，确保提醒机制本身不出故障。证书管理无小事，提前30天设置告警，给自己留足更新缓冲时间，彻底避免站点告警。