SSL ग्रेडर
सिर्फ़ "क्या प्रमाणपत्र मान्य है?" नहीं, बल्कि "क्या पूरा TLS सेटअप आधुनिक है?" यह पेज हर प्रोटोकॉल संस्करण को अलग-अलग परखता है, प्रमाणपत्र की कुंजी और हस्ताक्षर पढ़ता है, फ़ॉरवर्ड सीक्रेसी और HSTS की जाँच करता है, और परिणाम को एक अक्षर ग्रेड में बदल देता है — हर कटौती की व्याख्या के साथ, ताकि B या C आपको ठीक-ठीक बताए कि क्या ठीक करना है।
इसे लगातार देखना चाहते हैं? myeventwatch के साथ मुफ़्त मॉनिटर करें — समाप्ति और डाउनटाइम अलर्ट, कोई कार्ड ज़रूरी नहीं।
ग्रेड क्या मापता है
प्रमाणपत्र जाँच यह जवाब देती है कि कोई एक दस्तावेज़ मान्य है या नहीं। कोई सेटअप उस जाँच में पास होकर भी कमज़ोर रह सकता है: जो भी माँगे उसे TLS 1.0 में जवाब देने वाला सर्वर, ऐसा सिफ़र जो भविष्य में कुंजी के समझौते पर आज रिकॉर्ड किया गया ट्रैफ़िक डिक्रिप्ट करने दे, या गायब HSTS हेडर जो पहली विज़िट को डाउनग्रेड करने योग्य छोड़ दे। इसलिए ग्रेडर चार चीज़ें मापता है, हर एक का परिणाम में अपना खंड है। प्रोटोकॉल मैट्रिक्स TLS 1.0, 1.1, 1.2 और 1.3 में से हर एक पर पिन किया गया एक हैंडशेक करती है — कोई संस्करण तभी समर्थित गिना जाता है जब उस पर पिन किया गया हैंडशेक वास्तव में पूरा हो, इसलिए "समर्थित" मापा जाता है, संयोग से जो संस्करण नेगोशिएट हुआ उससे अनुमान नहीं लगाया जाता। प्रमाणपत्र खंड वह रिपोर्ट करता है जो सर्वर प्रस्तुत करता है, भले ही वह सत्यापन में विफल हो: जारीकर्ता, कवर किए गए नाम, मान्यता अवधि, कुंजी का प्रकार और आकार, और हस्ताक्षर एल्गोरिदम। फ़ॉरवर्ड सीक्रेसी नेगोशिएट किए गए सिफ़र से पढ़ी जाती है: TLS 1.3 सुइट्स बनावट से ही फ़ॉरवर्ड-सीक्रेट होते हैं, पुराने सुइट्स तभी जब वे अल्पकालिक कुंजी विनिमय का उपयोग करें। और HSTS डोमेन के रूट प्रतिसाद से, उसके max-age और फ़्लैग के साथ पढ़ा जाता है।
एक जानबूझकर की गई छूट: OCSP स्टेपलिंग की जाँच नहीं होती। यह सेवा जिस TLS लाइब्रेरी का उपयोग करती है वह स्टेपल किए गए प्रतिसादों को उजागर नहीं करती, इसलिए ग्रेडर उन्हें देख नहीं सकता और अनुमान लगाने के बजाय ऐसा कहता है। स्टेपलिंग ग्रेड को न मदद करती है न नुकसान; अगर यह आपके लिए मायने रखती है, तो अपनी मशीन से openssl के साथ जाँचें। ग्रेड की रूब्रिक स्वयं नीचे पूरी लिखी गई है, क्योंकि जिस ग्रेड का ऑडिट न हो सके वह सिर्फ़ एक बैज है।
रूब्रिक, सरल भाषा में
हर साइट A+ से शुरू होती है, और कटौतियाँ ग्रेड पर सीमा लगाती हैं — लागू होने वाली सबसे कड़ी सीमा जीतती है, और हर एक परिणाम में एक निष्कर्ष के रूप में दिखाई देती है। F का मतलब है कि ब्राउज़र साइट को अस्वीकार करते हैं या उपयोग योग्य TLS है ही नहीं: समाप्त प्रमाणपत्र, स्व-हस्ताक्षरित प्रमाणपत्र, ऐसा प्रमाणपत्र जो होस्टनाम को कवर नहीं करता, MD5 हस्ताक्षर, या पोर्ट 443 पर एक भी सफल हैंडशेक नहीं। C का मतलब है पुराना या अविश्वसनीय: ऐसी श्रृंखला जो मान्य नहीं होती (आमतौर पर एक मध्यवर्ती प्रमाणपत्र गायब), कमज़ोर कुंजी (2048 बिट से कम RSA, या छोटा दीर्घवृत्त वक्र), SHA-1 हस्ताक्षर, या समर्थित उच्चतम प्रोटोकॉल TLS 1.1 या उससे पुराना। B का मतलब है वास्तविक लेकिन झेली जा सकने वाली कमज़ोरी: आधुनिक प्रोटोकॉल के साथ-साथ अब भी सक्षम कोई पुराना प्रोटोकॉल, या फ़ॉरवर्ड सीक्रेसी के बिना नेगोशिएट किया गया सिफ़र। A का मतलब है एक मामूली समस्या: कोई HSTS हेडर नहीं, छह महीने से कम का HSTS max-age, या अपने 30-दिन के नवीनीकरण विंडो के भीतर का प्रमाणपत्र। निष्कर्षों को क्रम से ठीक करें — पहले F और C, फिर B, फिर A — और हर बदलाव के बाद फिर से ग्रेड दें; एक घंटे की कैश का मतलब है कि किसी सुधार की फिर से जाँच करने से पहले आप इंतज़ार करना चाहेंगे। भीतर, यह पेज sysosx के सर्वर पर GET /api/check/ssl-grade को कॉल करता है, जो परख चलाता है और ग्रेड को एक घंटे के लिए कैश करता है।
संबंधित टूल: प्रमाणपत्र की त्वरित झलक और समाप्ति उलटी गिनती के लिए SSL चेकर, पहुँचयोग्यता, प्रमाणपत्र, समाप्ति और रिकॉर्ड एक साथ देखने के लिए वेबसाइट हेल्थ चेक, जब TLS सेटअप ठीक हो लेकिन रीडायरेक्ट पथ नहीं, तो HTTP स्थिति श्रृंखला, और पोर्ट 443 के अलावा होस्ट पर और क्या सुन रहा है, इसके लिए पोर्ट स्कैनर। डोमेन आज जो प्रस्तुत करता है उसके बजाय उसके लिए अब तक जो कुछ भी जारी हुआ है, उसके लिए Certificate Transparency खोज का उपयोग करें।
आगे पढ़ें: TLS ग्रेड कैसे कमाए और खोए जाते हैं — हर सीमा के पीछे की आम विफलताएँ और उनके सुधार, उसी क्रम में जिसमें उन्हें करना सार्थक है।
अक्सर पूछे जाने वाले प्रश्न
यह SSL चेकर से कैसे अलग है?
SSL चेकर एक प्रश्न का उत्तर देता है: यह सर्वर कौन सा प्रमाणपत्र प्रस्तुत करता है, और क्या वह मान्य है? ग्रेडर पूरे TLS सेटअप का ऑडिट करता है: सर्वर अब भी कौन से प्रोटोकॉल संस्करण प्रदान करता है (TLS 1.0 से 1.3 तक, हर एक को अलग-अलग परखा जाता है), क्या नेगोशिएट किया गया सिफ़र फ़ॉरवर्ड सीक्रेसी देता है, प्रमाणपत्र की कुंजी का आकार और हस्ताक्षर एल्गोरिदम, और क्या HSTS सेट है। समाप्ति की त्वरित उलटी गिनती के लिए चेकर का उपयोग करें; जब आप जानना चाहते हैं कि सेटअप स्वयं आधुनिक है या नहीं, तो ग्रेडर का उपयोग करें।
हर ग्रेड का क्या मतलब है?
A+ एक स्वच्छ परिणाम है: केवल आधुनिक प्रोटोकॉल, फ़ॉरवर्ड सीक्रेसी, इस होस्टनाम को कवर करने वाली मान्य श्रृंखला, और लंबे समय तक चलने वाला HSTS। A का मतलब है एक मामूली समस्या, आमतौर पर गायब या छोटा HSTS, या अपने 30-दिन के नवीनीकरण विंडो के भीतर का प्रमाणपत्र। B का मतलब है वास्तविक लेकिन झेली जा सकने वाली कमज़ोरी: अब भी सक्षम कोई पुराना प्रोटोकॉल, या फ़ॉरवर्ड सीक्रेसी के बिना कोई सिफ़र। C का मतलब है कुछ पुराना या अविश्वसनीय: ऐसी श्रृंखला जो मान्य नहीं होती, कमज़ोर कुंजी या SHA-1 हस्ताक्षर, या उच्चतम प्रोटोकॉल TLS 1.1 या उससे पुराना। F का मतलब है कि ब्राउज़र साइट को अस्वीकार करते हैं या उपयोग योग्य TLS है ही नहीं: समाप्त, स्व-हस्ताक्षरित या बेमेल प्रमाणपत्र, या MD5 हस्ताक्षर।
सिर्फ़ TLS 1.0 का समर्थन करने पर सर्वर B पर क्यों सीमित हो जाता है?
क्योंकि "समर्थित" सर्वर के बारे में एक तथ्य है, आपके आगंतुकों के बारे में नहीं। आज कुछ भी आधुनिक TLS 1.0 नेगोशिएट नहीं करता, इसलिए इसे सक्षम रखना कोई संगतता नहीं खरीदता और सबसे कमज़ोर सिफ़रों को पेशकश पर बनाए रखता है। यह सीमा ग्रेडर का किसी सेटअप को तब तक आधुनिक कहने से इनकार है जब तक 1999 का कोई प्रोटोकॉल अब भी जवाब दे रहा है। इसे अक्षम करना आमतौर पर कॉन्फ़िगरेशन की एक पंक्ति है, और ग्रेड तुरंत ठीक हो जाता है।
ग्रेडर OCSP स्टेपलिंग की जाँच क्यों नहीं करता?
ईमानदार सीमा, पेज पर बताई गई: यह सेवा जिस TLS लाइब्रेरी का उपयोग करती है वह स्टेपल किए गए OCSP प्रतिसादों को उजागर नहीं करती, इसलिए ग्रेडर उन्हें देख नहीं सकता। अनुमान लगाने के बजाय, यह स्टेपलिंग को "जाँच नहीं हुई" के रूप में रिपोर्ट करता है और उसे ग्रेड को न मदद करने देता है न नुकसान। अगर स्टेपलिंग आपके लिए मायने रखती है, तो अपनी मशीन से openssl s_client -connect host:443 -status के साथ जाँचें।
परिणाम एक घंटे के लिए कैश क्यों होता है?
ग्रेड केवल तब बदलता है जब सर्वर का TLS सेटअप बदलता है, जो दुर्लभ और जानबूझकर किया गया होता है — DNS प्रसार के विपरीत, जहाँ उत्तर ही मुद्दा होता है। अन्य सर्वर-पक्ष जाँचों की तरह नई जाँचें प्रति आगंतुक सीमित होती हैं (लगभग बीस प्रति घंटा, एक छोटे बर्स्ट भत्ते के साथ), और कैश किया गया परिणाम उसी रूप में चिह्नित होता है। अगर आपने अभी-अभी कुछ ठीक किया है, तो घंटा बीतने का इंतज़ार करें या कैश समाप्त होने के बाद फिर से जाँचें।