Проверка SSL

Не ждите, пока обратный отсчёт дойдёт до нуля: отслеживайте его бесплатно с myeventwatch и получайте оповещение до истечения срока.

Что говорит вам проверка сертификата

Сертификат TLS — это небольшой публичный документ с непропорционально большими последствиями. Он привязывает открытый ключ к списку имён, он подписан издателем, которому должны доверять браузеры ваших посетителей, и у него есть жёсткие даты начала и окончания. Эта проверка выполняет настоящее рукопожатие TLS с доменом на порту 443 — ту же самую процедуру согласования, которую выполняет браузер посетителя, пришедшего впервые, — и сообщает о том, что вернулось. Издатель говорит вам, какой центр сертификации стоит за сайтом; это полезно, когда вы наследуете инфраструктуру и должны знать, где живут продления. Субъект и список SAN показывают точно, какие имена хостов охватывает сертификат; отсутствующее имя — голый домен без www или забытый поддомен — одна из самых частых причин предупреждений браузера на в остальном здоровых сайтах.

Окно действительности — это та часть, у которой есть крайний срок. Проверка превращает дату окончания в обратный отсчёт оставшихся дней и раскрашивает его: спокойно за пределами девяноста дней, янтарно внутри девяноста, красно внутри тридцати. Она также сообщает, проходит ли проверку цепочка — сервер должен предъявлять не только собственный сертификат, но и промежуточные сертификаты, связывающие его с доверенным корнем, в правильном порядке, — совпадает ли имя хоста и какая версия протокола была согласована, так что стареющая конечная точка TLS 1.0 видна с первого взгляда.

Почему сертификаты истекают в самый неподходящий момент

Современные сертификаты намеренно короткоживущие. Автоматизированные издатели обычно дают девяносто дней, что является хорошей практикой безопасности и безжалостной операционной беговой дорожкой: двенадцать продлений в год, каждое — небольшой шанс, что автоматизация молча откажет: DNS-вызов, который больше не проходит проверку, сценарий продления на выведенном из эксплуатации сервере, плагин, переставший работать после обновления. Режим отказа жесток в своей простоте: однажды утром сертификат истёк, каждый браузер показывает предупреждение на всю страницу, и большинство посетителей уходят, а не нажимают «продолжить». Поисковые системы, платёжные провайдеры и клиенты API ещё менее снисходительны. Единственная надёжная защита — знать дату и получать о ней напоминания, поэтому каждый результат на этой странице предлагает бесплатный непрерывный мониторинг через myeventwatch: проверка показывает вам сегодняшний обратный отсчёт, а монитор позаботится, чтобы вы услышали об этом за тридцать дней, за четырнадцать и за семь.

Как читать проблемный результат

Если проверка сообщает об ошибке вместо сертификата, сообщение точно называет сбой. No TLS означает, что на порту 443 ничего не ответило — сайт может быть только по HTTP или за брандмауэром. Результаты Expired и self-signed всё равно показывают издателя и даты предъявленного сертификата, потому что у сломанного сайта всё ещё есть сертификат, который стоит прочитать. Несоответствие имени хоста означает, что список имён сертификата не включает введённый вами домен — проверьте, должен ли сайт быть доступен под другим именем или подаётся не тот сертификат. Недоверенная цепочка почти всегда означает отсутствующий промежуточный сертификат на сервере, что некоторые браузеры маскируют, получая его самостоятельно, — ваши постоянные посетители могут не видеть проблемы, а каждый новый посетитель видит.

Хотите полный аудит, а не только сертификат? Оценщик SSL проверяет каждую версию протокола отдельно, проверяет прямую секретность и HSTS и выставляет оценку всей настройке — проверка говорит вам, действителен ли сертификат, а оценщик говорит, актуальна ли настройка. А для истории выдачи, а не живого рукопожатия, поиск Certificate Transparency перечисляет каждый сертификат, который публичные журналы хранят для домена, включая те, что уже ни один сервер не предъявляет.

Часто задаваемые вопросы