如何下载网站的SSL证书及完整证书链（直至根证书）

CLI工具 #

OpenSSL（跨平台） #

这是最通用的SSL工具，能获取目标站点的完整证书链（含服务器证书、中间证书），命令如下：

# 处理普通站点
openssl s_client -showcerts -connect example.com:443 </dev/null 2>/dev/null | awk '/BEGIN CERTIFICATE/,/END CERTIFICATE/{print}' > full_chain.pem

# 处理需SNI的站点
openssl s_client -showcerts -servername example.com -connect example.com:443 </dev/null 2>/dev/null | awk '/BEGIN CERTIFICATE/,/END CERTIFICATE/{print}' > full_chain_sni.pem

生成的full_chain.pem包含所有证书，可手动拆分出根证书、中间证书和服务器证书。

Windows Certutil（系统自带） #

Windows无需额外安装，直接用内置的certutil下载证书链：

certutil -urlcache -split -f https://example.com cert_chain.pem

执行后会自动拆分生成多个单独的证书文件，对应链中的每一层证书。

GUI工具 #

Firefox浏览器 #

Firefox未更改证书导出逻辑，仍可通过地址栏操作：点击锁形图标→「连接安全」→「更多信息」→「查看证书」→「详细信息」，即可选择导出服务器证书、中间证书或根证书，支持PEM、DER等格式。

DigiCert SSL诊断工具 #

图形化网页工具，输入目标URL即可展示完整证书链，支持单独下载链中的每一个证书。

内容的提问来源于stack exchange，提问作者v7r