La data di scadenza del certificato sta esaminando un modo valido per rilevare siti Web dannosi?

No, non è un modo corretto per controllare. I certificati a vita lunga sono in gran parte in disuso a causa delle implicazioni per la sicurezza, e sono in realtà probabilmente meno affidabili di quelli di breve durata. Il ragionamento alla base di questo è il seguente:

Supponete di possedere un sito Web e acquistare un certificato TLS per questo con una validità di 10 anni. Supponiamo ora che la chiave venga compromessa il primo giorno e tu mai non lo trovi. Chiunque abbia preso possesso della chiave per quel certificato può ora impersonare il tuo sito web per i prossimi 10 anni . Se invece ne avessi uno valido solo per 3 mesi, l'ammontare del danno che l'attaccante potrebbe fare sarebbe significativamente inferiore.

Per quanto riguarda il controllo effettivo della legittimità o meno di un certificato, non c'è nulla che tu possa fare come utente.

• I periodi di validità sono fuori, perché questa è la politica locale. Alcune persone vogliono ancora pagare con il naso per i certificati di validità lunga, quindi continuerai a vedere tali certificati in uso regolare, specialmente tra le aziende che hanno utilizzato SSL / TLS per il più lungo (ad esempio banche).
• Anche la data di emissione è scaduta, per lo stesso motivo per cui i periodi di validità non sono buoni. Potresti considerare che una data prossima alla fine del periodo di validità sia discutibile, ma difficilmente sarà affidabile.
• La convalida del dominio non è disponibile, in quanto non è difficile per gli hacker spoofare i record DNS richiesti (il DNS è ancora una delle parti più insicuri di Internet).
• La convalida estesa è fuori, in quanto è in gran parte uno scherzo, come la maggior parte delle aziende che lo forniscono, e alcune aziende popolari semplicemente non lo fanno affatto (in gran parte perché c'è davvero un valore quasi nullo per proteggere le comunicazioni).

Tutti gli altri controlli che si possono fare guardando il certificato stesso sono già eseguiti automaticamente dal browser (controllando che il certificato sia valido e non sia stato revocato, che il domai corrisponda e che il server abbia la chiave associata ).

Detto questo, dovresti prestare attenzione a typosquatting , che potrebbe essere un po 'più ovvio se stai cercando al certificato stesso. Una difesa migliore per questo è assicurarsi che il tuo browser visualizzi i caratteri non ascii nei nomi di dominio nel loro formato di escape o punycode.

Questo non è un modo corretto per controllarlo. Otterrete MOLTI falsi positivi. Immagina tutti i certificati Let's Encrypt. Questi sono tutti validi per soli 3 mesi. Lo scopo del progetto Let's Encrypt era incoraggiare i certificati con una vita breve e il rinnovo automatico della certificazione.

Non è comune, le banche usano questo tipo di certificati, ma ci sono modi migliori per verificare se un certificato è valido, cioè CRL , OCSP , Trasparenza certificato

Sono d'accordo con gli altri risponditori - questo non è un assegno valido. Non può certo far male, ma ti dà pochi dati validi per una serie di motivi.

In particolare, cosa stai cercando di verificare quando lo fai? Ci sono modi migliori per ottenere queste informazioni. Per verificare la validità di un venditore, ad esempio, le recensioni potrebbero * essere un metodo migliore. (Si noti che "potrebbe" è una parola chiave qui, poiché le recensioni sono ovviamente una fonte di informazioni estremamente inaffidabile.)