什么是SSL证书签名时间戳（SCT）？

知识百科  2026年09月04日 10:23:21

SCT的全称是Signed Certificate Timestamp（签名时间戳），它是由证书透明度（Certificate Transparency，简称CT）日志服务器生成的一段数字签名凭证。
你可以把它理解为：当CA机构为你签发了一张SSL证书后，这张证书会被提交到公开的CT日志服务器上“登记造册”，而CT日志服务器回传给CA的那张“登记收据”，就是SCT。

SCT解决了什么问题？

在没有证书透明度机制以前，CA机构如果错误或恶意地签发了某域名的SSL证书，域名所有者可能完全不知情，浏览器也难以察觉。SCT的出现，就是为了确保证书的颁发过程是公开、可被审计的，从而防止证书被滥用或被用于中间人攻击。

SCT是如何生成的？

简单来说，流程是这样的：
1. 提交：CA机构在正式颁发证书前，会先将证书信息提交给一个或多个CT日志服务器。
2. 盖章：CT日志服务器验证信息后，会生成一个包含证书哈希值、日志服务器签名和精确时间戳的SCT。这个过程通常要求在24小时内完成（即最大合并延迟MMD）。
3. 交付：CA会将这个SCT通过嵌入证书、TLS握手扩展或OCSP装订等方式交付给你，最终在用户访问时提供给浏览器验证。

为什么要关注SCT？

因为主流浏览器已经强制要求。从2018年起，Chrome浏览器就要求所有新签发的公开信任证书都必须包含有效的SCT，否则会直接拦截访问。苹果公司也明确要求，在iOS和macOS等平台上受信任的证书必须符合其CT政策，否则会导致TLS连接失败。可以说，没有SCT，你的网站可能就无法在现代浏览器上正常使用HTTPS。

如何查询SCT Log日志？

要查看一张SSL证书是否被记录在CT日志中，以及获取它的SCT信息，主要有以下三种方法。
方法一：通过浏览器查看证书详情
这是最直接的方式，可以查看当前访问的网站证书是否包含了SCT信息。
1. 访问你的网站（必须是HTTPS协议），点击浏览器地址栏左侧的锁形图标。
2. 在弹出的菜单中，选择“证书”或“查看证书”，进入证书详情页面。
3. 切换到“详细信息”或“扩展信息”标签页，查找SCT相关字段。你可能会看到类似“签名证书时间戳”的字样，或者它的专用对象标识符（OID）：1.3.6.1.4.1.11129.2.4.2。如果能看到这些信息，就说明该证书已经被记录在CT日志中。
方法二：使用在线CT日志查询工具
如果你想查询某个域名下所有已签发的证书（包括你可能不知道的、被误签的证书），在线工具会更强大。
1. 访问公开的CT日志查询平台，例如Google的CT日志搜索、Censys、SSL Labs的证书检查工具，或者一些CA机构提供的免费查询工具。
2. 在搜索框中输入你的完整域名或证书序列号进行查询。
3. 查询结果会详细列出该域名下的所有证书记录，你可以重点查看：
o 证书是否已被多个CT日志服务器记录。
o 每个SCT的生成时间和签发它的日志服务器名称，以判断其可靠性。
方法三：检查证书中的CT日志列表
部分高级证书会直接将关联的CT日志服务器地址（如Google的Argon日志）列在证书详情中。你可以在证书详情中查找“CT Logs”或“SCT List”字段，然后访问对应日志服务器的公开接口，手动验证该证书是否被收录。
总结来说：SCT是现代SSL证书体系中实现透明和可信的关键一环，你可以通过浏览器或在线工具随时查询，确保自己的证书已合规地被CT日志记录。