TLS 与 DNS

为你的服务器生成 TLS 配置，为 47 天证书做好准备，发布 CAA、TLSA 和 security.txt 记录，沿 DNSSEC 信任链逐级追踪，查看你的浏览器是否已在使用后量子 TLS，并一次检查多个域名。每个页面都会写明它是否通过网络发送数据，以及具体发送什么。

9 个工具

适用于 28 种服务器的 SSL 配置

依据 TLSRef 指南（Mozilla 指南的延续）为 nginx、Apache、HAProxy、Caddy、Postfix、Node.js、Go、Java、.NET 及另外 19 种服务器生成 TLS 设置，在你的版本支持时启用后量子密钥交换，还能解读你正在使用的配置。

按 200 → 100 → 47 天规划续期

到 2029 年，公开受信任的 TLS 证书有效期将从 398 天依次缩短到 200 天、100 天，最终降至 47 天。看看这对你的证书意味着什么：每年的续期和域名验证次数、接下来的截止日期，以及你的续期策略会在哪里出问题。

限定哪些 CA 可以签发证书

为任意 DNS 托管服务商或控制面板生成 CAA 记录（RFC 8659、RFC 8657）——指定哪些 CA 可以签发证书和通配符证书、限定使用哪个 ACME 账户和哪种验证方法——并检测 CA 当前在 DNS 中看到的内容，为 CCADB 报告中的每个 CA 给出判定结果。

根据证书生成 DANE 记录

根据证书、证书链、公钥或 CSR 生成用于 DANE 的 TLSA 记录（RFC 6698、RFC 7671）——默认生成 3 1 1，并附带密钥轮换记录——还可以将已发布的记录与服务器提供的证书链比对，并显示这些记录的 DNSSEC 状态。

编写并检查 security.txt

编写 security.txt 文件（RFC 9116），告诉研究人员如何报告漏洞——联系方式、过期时间、加密密钥、政策——或者校验你已发布的文件：每个字段、过期时间、文件位置以及 OpenPGP 签名结构。

追踪信任链

沿 DNSSEC 信任链，从 IANA 根信任锚一路追踪到任意名称和记录类型。每个 DS 摘要、DNSKEY 和 RRSIG 都在你的浏览器中用查看器自带的 RSA、ECDSA 和 EdDSA 实现验证，不存在性证明也会逐一解释。

你的浏览器在用 ML-KEM 吗？

点击一次即可查看：你的浏览器与 Cloudflare 之间，在基于 TCP 的 TLS 中和 QUIC（HTTP/3）内部是否协商了后量子混合方案 X25519MLKEM768；这是否符合该版本应有的行为；以及拦截代理或旧版本会带来哪些变化。

查看浏览器的 JA4

展示 ecdsa.com 边缘网络看到的浏览器 JA4 指纹，并逐部分解释协议、TLS 版本、密码套件、扩展和 ALPN；另有 JA4 计算器，可处理你粘贴的任意指纹或 ClientHello。

一组域名的 TLS 与证书到期情况

粘贴域名列表，通过 ecdsa.com API 一并检测：逐一查看 TLS 评级、证书到期时间与密钥算法、TLS 1.3、旧版协议和证书链完整性，并提供汇总及 CSV、JSON 导出。