opensslコマンドでSSL/TLS証明書を確認する方法｜有効期限・暗号スイート・接続テストも

この記事のポイント

・openssl s_client でリモートサーバーのSSL/TLS接続状態を確認できる
・openssl x509 -dates で証明書の有効期限を即座に表示できる
・暗号スイートやプロトコルバージョンの確認も openssl s_client 一本で対応
・自己署名証明書の作成は openssl req -x509 で完結する

$ openssl version
OpenSSL 3.2.2 4 Jun 2024 (Library: OpenSSL 3.2.2 4 Jun 2024)

# RHEL / Rocky Linux / AlmaLinux
# dnf install openssl -y

# Ubuntu / Debian
# apt install openssl -y

$ echo | openssl s_client -connect www.linuxmaster.jp:443 -servername www.linuxmaster.jp 2>/dev/null   | openssl x509 -noout -dates
notBefore=Mar 11 00:00:00 2025 GMT
notAfter=Apr 10 23:59:59 2026 GMT

$ openssl x509 -in /etc/pki/tls/certs/server.crt -noout -dates
notBefore=Mar 11 00:00:00 2025 GMT
notAfter=Apr 10 23:59:59 2026 GMT

# 証明書の詳細情報（サブジェクト・発行者・SAN）も確認したい場合
$ openssl x509 -in /etc/pki/tls/certs/server.crt -noout -subject -issuer -ext subjectAltName
subject=CN = www.linuxmaster.jp
issuer=C = US, O = DigiCert Inc, CN = RapidSSL TLS RSA CA G1
X509v3 Subject Alternative Name:
    DNS:www.linuxmaster.jp, DNS:linuxmaster.jp

$ echo | openssl s_client -connect www.linuxmaster.jp:443 2>/dev/null | grep -E "Protocol|Cipher"
    Protocol  : TLSv1.3
    Cipher    : TLS_AES_256_GCM_SHA384

# TLS 1.2 のみ許可して接続テスト
$ echo | openssl s_client -connect www.example.com:443 -tls1_2 2>&1 | grep -E "Protocol|alert"

# TLS 1.1 が拒否されることを確認（セキュリティ強化チェック）
$ echo | openssl s_client -connect www.example.com:443 -tls1_1 2>&1 | tail -5

#!/bin/bash
# check-cert-expiry.sh - SSL証明書の有効期限を確認して30日前に警告する

HOST="www.linuxmaster.jp"
WARN_DAYS=30
NOTIFY_EMAIL="admin@example.com"

# 有効期限を取得（秒単位のUnixタイム）
EXPIRY=$(echo | openssl s_client -connect "${HOST}:443" -servername "${HOST}" 2>/dev/null   | openssl x509 -noout -enddate   | sed 's/notAfter=//')
EXPIRY_EPOCH=$(date -d "${EXPIRY}" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( (EXPIRY_EPOCH - NOW_EPOCH) / 86400 ))

if [ "${DAYS_LEFT}" -le "${WARN_DAYS}" ]; then
  echo "警告: ${HOST} の証明書は残り ${DAYS_LEFT} 日で失効します"     | mail -s "[SSL期限警告] ${HOST}" "${NOTIFY_EMAIL}"
fi

# 秘密鍵と自己署名証明書を同時に生成（有効期間365日）
$ openssl req -x509 -newkey rsa:2048 -keyout server.key -out server.crt   -days 365 -nodes -subj "/CN=localhost"

# 生成ファイルを確認
$ ls -lh server.key server.crt
-rw------- 1 user user 1.7K Apr 13 10:00 server.key
-rw-r--r-- 1 user user 1.1K Apr 13 10:00 server.crt

# 1. 秘密鍵を生成
$ openssl genrsa -out server.key 2048

# 2. CSRを生成（認証局に提出するファイル）
$ openssl req -new -key server.key -out server.csr   -subj "/C=JP/ST=Tokyo/O=Example Inc./CN=www.example.com"

# 3. CSRの内容確認（提出前に必ず確認する）
$ openssl req -in server.csr -noout -text | head -10
Certificate Request:
    Data:
        Version: 1 (0x0)
        Subject: C=JP, ST=Tokyo, O=Example Inc., CN=www.example.com

$ echo | openssl s_client -connect localhost:8443 2>/dev/null | openssl x509 -noout -subject -dates
subject=CN = localhost
notBefore=Apr 13 00:00:00 2025 GMT
notAfter=Apr 13 00:00:00 2026 GMT

# SMTPのSTARTTLSを使う場合は -starttls オプションを指定する
$ openssl s_client -connect mail.example.com:587 -starttls smtp

# ポートが開いているか先に確認する
$ nc -zv mail.example.com 587