Cum să verifici data de expirare a certificatului SSL cu OpenSSL

Certificatele SSL au perioade de valabilitate limitate și trebuie reînnoite periodic pentru a rămâne de încredere pentru browsere. Certificatele publice emise după 15 martie 2026 sunt limitate la 200 de zile, iar valabilitatea maximă scade la 100 de zile pe 15 martie 2027 și la 47 de zile pe 15 martie 2029. Cunoașterea exactă a datei de expirare a unui certificat vă ajută să îl reînnoiți la timp și să evitați întreruperile.

Acest ghid vă arată cum să verificați expirarea certificatului cu OpenSSL: pentru un server live, pentru un fișier local și cum să verificați dacă un certificat este pe cale să expire.

Răspuns rapid:

Pentru un site web live, executați:

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -enddate. 

Pentru un fișier de certificat, executați:

openssl x509 -in your_certificate.pem -noout -enddate. 

Valoarea notAfter este data de expirare.

Metoda 1: Verificarea unui certificat pe un server live

Această metodă se conectează la un site web activ și citește certificatul pe care acesta îl servește; nu aveți nevoie de fișierul certificatului. Funcționează pentru orice host accesibil (un domeniu la distanță sau localhost cu portul corect pentru un server local).

Pe Linux și macOS

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -enddate

Înlocuiți yourdomain.com cu domeniul dvs. real. Comenzile sunt identice pe macOS, deoarece macOS este de tip Unix (OpenSSL încorporat este LibreSSL, care suportă aceste opțiuni).

Pe Windows

• Deschideți Command Prompt sau PowerShell (apăsați Win + R, tastați cmd sau powershell și apăsați Enter).
• Executați:

echo | openssl s_client -servername yourdomain.com -connect yourdomain.com:443 2>nul | openssl x509 -noout -enddate

Pe Windows, folosiți 2>nul în loc de 2>/dev/null pentru a elimina mesajele de eroare.

Metoda 2: Verificarea unui certificat dintr-un fișier PEM

Un fișier PEM este un certificat codificat base64 care începe cu ––BEGIN CERTIFICATE–– și se termină cu ––END CERTIFICATE––. Folosiți această metodă atunci când aveți fișierul certificatului pe disc.

Pe Linux și macOS

Deplasați-vă în folderul care conține certificatul dvs., apoi citiți data de expirare (înlocuiți your_certificate.pem cu numele fișierului dvs.):

cd /path/to/your/certificate/directory
openssl x509 -in your_certificate.pem -noout -enddate

Pe Windows

cd C:pathtoyourcertificatedirectory
openssl x509 -in your_certificate.pem -noout -enddate

Asigurați-vă că OpenSSL este instalat și se află în PATH; în caz contrar, specificați calea completă către binarul openssl.exe.

Vizualizați ambele date sau verificați dacă un certificat expiră în scurt timp

Pentru a vedea atât data emiterii (notBefore), cât și data expirării (notAfter), folosiți -dates în loc de -enddate:

openssl x509 -in your_certificate.pem -noout -dates

Pentru a verifica dacă un certificat va expira într-un interval de timp dat, folosiți -checkend cu un număr de secunde (aici, 2592000 secunde = 30 de zile):

openssl x509 -in your_certificate.pem -noout -checkend 2592000

Aceasta afișează Certificate will not expire (și se închide cu statusul 0) sau Certificate will expire (statusul 1) — ceea ce o face ideală pentru scripturi de monitorizare și cron jobs.

Înțelegerea comenzii și a rezultatului

Luați comanda pentru serverul live și rezultatul acesteia ca exemplu:

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -enddate

Rezultat:

notAfter=Sep 15 23:59:59 2026 GMT

Iată ce face fiecare parte:

• echo | — trimite un input gol pentru ca comanda să se finalizeze fără a aștepta o interacțiune.
• openssl s_client — deschide o conexiune SSL/TLS către server.
• -servername example.com — setează Server Name Indication (SNI), necesar atunci când un server găzduiește mai multe certificate pentru domenii diferite.
• -connect example.com:443 — hostul și portul la care se face conectarea (portul 443 este portul standard HTTPS).
• 2>/dev/null (Linux/macOS) sau 2>nul (Windows) — elimină mesajele de eroare astfel încât să fie afișat doar rezultatul relevant.
• | openssl x509 -noout -enddate — transmite certificatul către instrumentul x509; -noout suprimă afișarea PEM, iar -enddate afișează doar data de expirare.
• notAfter=… — data și ora la care certificatul devine invalid.

Automatizați: nu mai urmăriți manual datele

În loc să verificați manual datele de expirare, mai ales pe măsură ce perioadele de valabilitate se reduc spre 47 de zile, puteți folosi ACME ca Certificate-as-a-Service (CaaS). Acesta gestionează validarea domeniului, instalează certificatele și le reînnoiește automat înainte de expirare, astfel încât site-ul dvs. să rămână de încredere fără intervenție manuală.