Calificador SSL
No solo «¿es válido el certificado?», sino «¿está al día toda la configuración TLS?». Esta página sondea cada versión del protocolo por separado, lee la clave y la firma del certificado, comprueba el secreto perfecto hacia adelante y HSTS, y convierte el resultado en una nota en letra — con cada deducción explicada, para que una B o una C te diga exactamente qué corregir.
¿Quieres vigilarlo de forma continua? Monitorízalo gratis con myeventwatch — alertas de caducidad y caídas, sin tarjeta.
Qué mide la nota
Una comprobación de certificado responde si un documento es válido. Una configuración puede superar esa comprobación y seguir siendo débil: un servidor que responde TLS 1.0 a cualquiera que lo pida, una cifra que permite que una futura filtración de la clave descifre el tráfico grabado hoy, una cabecera HSTS ausente que deja la primera visita degradable. Por eso el calificador mide cuatro cosas, cada una con su propia sección en el resultado. La matriz de protocolos realiza un handshake fijado a cada una de TLS 1.0, 1.1, 1.2 y 1.3 — una versión solo cuenta como admitida si un handshake fijado a ella se completa de verdad, así que «admitida» se mide, no se infiere de la versión que casualmente se negoció. La sección de certificado informa de lo que presenta el servidor incluso cuando no supera la validación: emisor, nombres cubiertos, ventana de validez, tipo y tamaño de clave y algoritmo de firma. El secreto perfecto hacia adelante se lee de la cifra negociada: las suites de TLS 1.3 lo tienen por construcción; las antiguas, solo cuando usan intercambio de claves efímero. Y HSTS se lee de la respuesta raíz del dominio, con su max-age y sus indicadores.
Una omisión deliberada: no se comprueba el OCSP stapling. La biblioteca TLS que usa este servicio no expone las respuestas con stapling, así que el calificador no puede observarlas y lo dice, en lugar de adivinar. El stapling ni ayuda ni perjudica a la nota; si te importa, compruébalo con openssl desde tu propia máquina. La propia rúbrica de la nota está escrita abajo, completa, porque una nota que no se puede auditar es solo una insignia.
La rúbrica, en lenguaje sencillo
Cada sitio empieza en A+, y las deducciones ponen un techo a la nota — gana el techo aplicable más severo, y cada uno aparece como un hallazgo en el resultado. F significa que los navegadores rechazan el sitio o que no hay TLS utilizable: un certificado caducado, un certificado autofirmado, un certificado que no cubre el nombre de host, una firma MD5, o ningún handshake con éxito en el puerto 443. C significa obsoleto o no fiable: una cadena que no valida (normalmente falta un intermedio), una clave débil (RSA por debajo de 2048 bits, o una curva elíptica pequeña), una firma SHA-1, o un protocolo máximo admitido de TLS 1.1 o anterior. B significa una debilidad real pero superable: un protocolo heredado aún activado junto a los actuales, o una cifra negociada sin secreto perfecto hacia adelante. A significa un problema menor: sin cabecera HSTS, un max-age de HSTS inferior a seis meses, o un certificado dentro de su ventana de renovación de 30 días. Corrige los hallazgos en orden — primero F y C, luego B, luego A — y vuelve a calificar tras cada cambio; la caché de una hora significa que quizá quieras esperar antes de volver a comprobar una corrección. Por debajo, la página llama a GET /api/check/ssl-grade en el servidor de sysosx, que ejecuta los sondeos y guarda la nota en caché durante una hora.
Herramientas relacionadas: el comprobador SSL para la vista rápida del certificado y la cuenta atrás de caducidad, la comprobación de salud del sitio para alcanzabilidad, certificado, caducidad y registros en conjunto, la cadena de estado HTTP cuando la configuración TLS está bien pero la ruta de redirecciones no, y el escáner de puertos para ver qué más escucha en el host además del puerto 443. Para lo que se ha emitido alguna vez para el dominio, en lugar de lo que presenta hoy, usa la búsqueda en Certificate Transparency.
Lectura adicional: cómo se ganan y se pierden las notas TLS — los fallos comunes detrás de cada techo y sus correcciones, en el orden en que merece la pena hacerlas.
Preguntas frecuentes
¿En qué se diferencia del comprobador SSL?
El comprobador SSL responde una pregunta: ¿qué certificado presenta este servidor y es válido? El calificador audita toda la configuración TLS: qué versiones del protocolo sigue ofreciendo el servidor (TLS 1.0 a 1.3, cada una sondeada por separado), si la cifra negociada ofrece secreto perfecto hacia adelante, el tamaño de clave y el algoritmo de firma del certificado, y si HSTS está configurado. Usa el comprobador para una cuenta atrás rápida de caducidad; usa el calificador cuando quieras saber si la configuración en sí está al día.
¿Qué significa cada nota?
A+ es un resultado limpio: solo protocolos actuales, secreto perfecto hacia adelante, una cadena válida que cubre este nombre de host y HSTS de larga duración. A significa un problema menor, normalmente HSTS ausente o corto, o un certificado dentro de su ventana de renovación de 30 días. B significa una debilidad real pero superable: un protocolo heredado aún activado, o una cifra sin secreto perfecto hacia adelante. C significa algo obsoleto o no fiable: una cadena que no valida, una clave débil o una firma SHA-1, o un protocolo máximo de TLS 1.1 o anterior. F significa que los navegadores rechazan el sitio o que no hay TLS utilizable: un certificado caducado, autofirmado o que no coincide, o una firma MD5.
¿Por qué un servidor queda limitado a B solo por admitir TLS 1.0?
Porque «admitido» es un hecho sobre el servidor, no sobre tus visitantes. Nada actual negocia TLS 1.0, así que mantenerlo activado no compra compatibilidad alguna y mantiene en oferta las cifras más débiles. El techo es el calificador negándose a llamar actual a una configuración mientras un protocolo de 1999 sigue respondiendo. Desactivarlo suele ser una sola línea de configuración, y la nota se recupera al instante.
¿Por qué el calificador no comprueba el OCSP stapling?
Limitación honesta, declarada en la página: la biblioteca TLS que usa este servicio no expone las respuestas OCSP con stapling, así que el calificador no puede observarlas. En lugar de adivinar, informa del stapling como «no comprobado» y deja que ni ayude ni perjudique a la nota. Si el stapling te importa, compruébalo con openssl s_client -connect host:443 -status desde tu propia máquina.
¿Por qué el resultado se guarda en caché una hora?
Una nota solo cambia cuando cambia la configuración TLS del servidor, algo raro y deliberado — a diferencia de la propagación DNS, donde la respuesta es el objetivo. Las comprobaciones nuevas están limitadas por visitante (unas veinte por hora, con un pequeño margen de ráfaga) como las demás comprobaciones del lado del servidor, y un resultado en caché se etiqueta como tal. Si acabas de corregir algo, espera a que pase la hora o vuelve a comprobar cuando expire la caché.