SSL证书过期监控与告警设置方法指南

SSL证书的过期监控与告警，其实并不依赖Nginx自带的功能，而是通过外部脚本定期检查本地PEM文件或远程443端口的证书有效期，计算剩余天数，低于阈值时触发企业微信等通知，并借助cron定时执行、状态文件防重复告警、日志记录与权限配置实现自动化落地。

SSL 证书过期监控与告警，本质上并不依赖 Nginx 自身的内置功能，而是通过外部脚本定期“体检”证书有效期，并依据预设阈值触发通知。这套机制的核心逻辑其实很直接：查得准、判得清、发得及时，三步走就能稳稳落地。

一、怎么准确获取剩余天数

有两种主流方式，选哪种取决于你的部署场景：

• 本地文件检查：适用于证书由运维统一管理、路径固定（如 /etc/nginx/ssl/example.com.pem）。命令示例：
  openssl x509 -in /etc/nginx/ssl/example.com.pem -enddate -noout | awk -F' = ' '{print $2}' | xargs -I{} date -d "{}" +%s 2>/dev/null | xargs -I{} echo $(( ({} - $(date +%s)) / 86400 ))
  返回正整数即剩余天数，负数表示已过期。
• 远程端口检查：更贴近真实访问链路，尤其适合用了 CDN、负载均衡或自动续签的环境。命令示例：
  echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -enddate -noout | awk -F' = ' '{print $2}' | xargs -I{} date -d "{}" +%s 2>/dev/null | xargs -I{} echo $(( ({} - $(date +%s)) / 86400 ))
  这样能抓到线上实际生效的证书，避免本地文件未同步导致误判。

二、怎么避免重复告警和漏报

光检测不够，得加逻辑控制：

• 设好告警阈值，比如 15 天初告、7 天加急、0 天强制处理；
• 用状态文件记录（如 /tmp/ssl_alerted_example.com），同一域名只在首次低于阈值时告警；
• 脚本里加错误捕获，比如证书损坏、网络超时、OpenSSL 命令失败时跳过该域名，不中断整个检查流程；
• 支持批量域名，把所有要监控的域名、证书路径或目标地址写进一个 CSV 或文本列表，脚本循环读取执行。

三、怎么把告警发出去

企业微信最常用，也最容易落地：

• 在企业微信后台创建群机器人，获取 Webhook 地址；
• 脚本中用 curl -X POST 发送 Markdown 格式 JSON，内容包含域名、剩余天数、过期时间；
• 示例消息体：
  {"msgtype": "markdown", "markdown": {"content": "⚠️ SSL 证书告警n> 域名：example.comn> 剩余有效期：8 天n> 过期时间：2026-08-06"}}
• 别忘了加日志记录，比如写入 /var/log/ssl_check.log，方便回溯哪天哪个证书触发了什么动作。

四、怎么让检查自动跑起来

靠系统级定时任务，简单可靠：

• 把脚本保存为 /opt/scripts/check_ssl.sh，加上执行权限：chmod +x /opt/scripts/check_ssl.sh；
• 编辑 crontab：0 2 * * * /bin/bash /opt/scripts/check_ssl.sh >> /var/log/ssl_check_cron.log 2>&1，每天凌晨 2 点执行；
• 确认运行用户（如 www-data 或 root）有读取证书文件的权限——证书通常是 600 权限，建议把用户加入对应组，而不是直接 chmod 644。