First CH Apps / SSL/TLS証明書チェッカー
ホスト名を入れると、当社サーバーがそのホストの443番へ実際に接続して、いま配信されている証明書そのものを読み取ります。有効期限と残り日数・発行者・対象ホスト名（SAN）・中間証明書のチェーンを表示し、期限が30日を切っていれば警告します。
見るのは証明書とTLSの接続情報だけです。HTTPレスポンスヘッダー（HSTS等）の採点は「セキュリティヘッダー採点」、ページの中身の診断は「メタタグ・SEO基本診断」が担当します。
| 有効期限 | 終了日時と残り日数。残り30日以内は警告、期限切れは要対応として表示します。 |
|---|---|
| ホスト名の一致 | 入力したホスト名がSAN（Subject Alternative Name）に含まれるかを判定します。ワイルドカードは最左ラベル1つ分だけに一致するものとして扱います（RFC 6125）。 |
| 発行者・チェーン | サーバーが送ってきた証明書を順に読み、中間証明書の欠落・並び順の不整合・中間証明書自体の期限を確認します。 |
| 鍵と署名 | 公開鍵の種類と長さ（RSA 2048ビット未満は要対応）、署名アルゴリズム（SHA-1 / MD5 は要対応）を確認します。 |
| TLS 1.3 対応 | 証明書の取得とは別に、TLS 1.3 を提示した接続を1回だけ行い、サーバーが選ぶバージョンを確認します。 |
このツールは証明書の中身を読むだけで、署名の検証・失効確認（CRL / OCSP）・信頼ストアとの照合は行いません。「ブラウザで信頼されるか」の最終判断はブラウザの表示をご確認ください。
証明書を平文で受け取るためにTLS 1.2で握手しています。TLS 1.3 でしか接続を受け付けないサーバーからは証明書を取得できず、CTログでの表示に切り替わります。
Cloudflare など当社の実行環境から直接TCP接続できない配信網のホストも、CTログでの表示に切り替わります（実行環境側の制約です）。
複数のサーバーで異なる証明書を配信している場合、表示されるのは接続できた1台のものです。ロードバランサ配下では実行のたびに結果が変わることがあります。
鍵交換は完了させず、証明書を受け取った時点で接続を切ります。対象サイトにアプリケーションデータは一切送りません。
送るもの: 入力されたホスト名だけ。当社サーバー（Cloudflare Workers）が、そのホストの443番へTLSのClientHello（ホスト名を含むSNI）を送ります。Cookie・認証情報・HTTPリクエストは送りません。
保存するもの: ありません。確認はリクエストの中だけで完結し、ホスト名・結果ともデータベース（KV/D1）へ書き込みません。処理が終わった時点でメモリから消えます。
返すもの: 証明書から読み取った項目（発行者・期間・SAN・鍵・署名・フィンガープリント）と判定結果だけです。ページの内容を取得・再配信することはありません。
外部への問い合わせ: ホスト名の解決に Cloudflare の DNS over HTTPS を使います。直接接続できなかった場合に限り、CTログの公開API（crt.sh）へホスト名を問い合わせます。
注意: 内部ネットワーク・localhost・プライベートIP宛のホスト名は受け付けません（DNSで解決したIPで判定します）。
POST /ssl/api/inspect に JSON（{"host": "example.com"}）またはフォームを送ると、同じ結果を JSON で返します。