Let's Encrypt 链兼容性检查器 - E5/E6 与旧设备
LE 链兼容性检查器
你的证书链在旧 Android、iOS 与嵌入式设备上还能用吗？给链打分并给出修复方案。
关于 LE 链兼容性检查器
CSR.plus 链兼容性检查器检查服务器发送的确切证书链，并为旧设备信任度打分。Let's Encrypt 的新版 E5/E6 中间证书不被旧 Android（7.1 之前）、旧 iOS 及许多嵌入式设备信任——本工具告诉你这对你的访客是否重要。
它逐张映射链中的证书（叶子、中间证书、交叉签名根），标记 E5/E6 中间证书，检测 DST Root CA X3 旧版路径是否缺失，并给出 A-C 兼容性评分与配置建议。
为什么使用
- 完整链遍历，逐证书识别中间证书
- 识别新版 ISRG E 系列（E5/E6……）与经典 R 系列链
- 检测 DST Root CA X3 旧版交叉签名路径是否存在
- A-C 兼容性评分与可操作的修复指引
使用步骤
- 输入要审计的域名。
- 阅读链映射：你的服务器发送了哪些中间证书？
- 查看评分与被标记的问题。
- 按建议配置证书链（例如提供交叉签名链）。
常见问题
▸E5/E6 中间证书带来了什么变化？
Let's Encrypt 在 2024-2025 年推出新的中间 CA（E1/E2/E5/E6……）。其链只锚定 ISRG Root X1，2016 年前后之前发布的设备不信任它。旧 R 系列链可通过 DST Root CA X3 交叉签名以保持兼容。
▸哪些设备会不信任新版 ISRG 链？
Android 7.1 以下、iOS 10 以下，以及许多 2016 年前发布的嵌入式/IoT 设备通常不直接信任 ISRG Root X1。
▸如何修复兼容性问题？
提供交叉签名链：由 DST Root CA X3 签名的中间证书，或包含旧版路径的完整链。Certbot 的 --preferred-chain 选项可用于选择它。
▸为什么评分是 B 或 C？
B 表示有一个问题（通常是缺少旧版路径的 E5/E6 链，或链不完整）。C 表示多个问题——通常是链不完整且使用 E5/E6 中间证书。
Namecheap
需要新的 SSL 证书？
DV、OV、EV 与通配符证书，年费低至 $5.98——几分钟内签发。
联盟链接——你无需多付任何费用，我们可能获得佣金。
更多免费工具
证书信息查看器
粘贴或上传 X.509 证书，在本地查看其主题、颁发者、有效期、密钥、指纹、SAN 与扩展项。
证书与密钥匹配检查器
检查私钥与证书是否属于同一密钥对——全程在本地计算，私钥绝不离开浏览器。
PEM 证书查看器
粘贴 PEM 内容（证书、私钥、CSR），在本地逐块结构化展示。
SSL 格式转换器
在 PEM、PFX/PKCS#12 与 P7B/PKCS#7 之间互转——全程在浏览器本地完成。
SSL 检测（A-F 评分）
对任意域名进行 A-F 评级：TLS 版本、证书健康、信任链和 HSTS。
SSL 批量检测
一次检测多个 SSL 证书
ACME 挑战预检
在 Let’s Encrypt 之前先测试 HTTP-01 与 DNS-01 验证：DNS、443 端口、well-known 可达性与 TXT 记录，并附修复建议。
Let's Encrypt 证书检查器
检测 Let’s Encrypt 证书（R3/R10/E5/E6）、90 天续期倒计时、证书链健康与续期建议。
DNS 传播检查器
跨 Cloudflare、Google 与 AdGuard 解析器检查 TXT、A、AAAA、NS 与 MX 记录，确认传播完成。
ACME 命令生成器
为 Certbot、acme.sh、lego 与 win-acme 生成可复制的签发命令（HTTP-01 或 DNS-01）。
证书巡检仪
输入域名，检测证书有效期、过期情况、TLS 协议版本与完整证书链。
SSL 证书有效期查询
快速查询域名的 SSL 证书到期时间与剩余天数。
证书透明度查询
列出某域名在公开 CT 日志中被签发过的所有证书，发现影子证书与未授权签发。
CAA 记录检查器
查询域名的 DNS CAA 记录，查看哪些证书颁发机构被授权为其签发证书。
证书吊销状态查询
通过 CRL 分发点核验证书是否已被吊销，并展示内嵌的 OCSP 响应端点。
SSL 追踪器
对指定主机与端口发起真实 TLS 握手，逐条记录 DNS、TCP、协商的 TLS 版本与密码套件，以及返回的每一张证书。