用途：这是第二层证书审计技能，在 analyzing-tls-config 完成协议、加密套件、有效期与主机名基础检查后运行，用于发现不会中断当前握手、但会使证书脆弱或易被软绕过的配置问题，例如缺少 OCSP 装订、缺少 CT SCT、证书链顺序错误、通配符范围过宽等。
主要检查项与严重度：证书已被吊销 CRITICAL；缺失或无效 OCSP 装订 HIGH；内嵌 SCT 少于 2 个 HIGH；通配符范围过宽（如 *.com）HIGH；中间证书顺序不符合 RFC 5246 MEDIUM；缺少 AIA 扩展 MEDIUM；密钥用途缺少 digitalSignature MEDIUM；链长超过 4 LOW；顶点 SAN 使用通配符 LOW。
使用方式：需 Python 3.9+ 及 cryptography 库、openssl CLI 1.1.1+。非本地目标必须有授权，先确认授权再运行：python3 ${CLAUDE_PLUGIN_ROOT}/skills/detecting-ssl-cert-issues/scripts/check_cert_chain.py https://target.example.com --authorized
常用选项：--port、--output、--format json|jsonl|markdown、--min-severity critical|high|medium|low|info、--timeout、--skip-ocsp。输出支持 JSON、JSONL 和 Markdown，退出码 0 表示干净、1 表示存在 high/critical、2 表示错误。
适用场景：评估采用 Must-Staple 前的 OCSP 装订现状；上线前检查 CT 日志合规性；审计通配符证书范围；CI 姿态监控。
限制与异常处理：OCSP 响应超时记为 MEDIUM 而非错误退出；CT 日志查询不可用时仅解析内嵌 SCT 并给出 INFO 提示；证书本身不受信任不属于本技能范围，由 analyzing-tls-config 处理。文档未提供价格或收费信息。