Iniciar handshake TLS directament des del servidor, llegir el certificat, negociar el protocol i la validesa restant.
Verifiqueu certificats SSL/TLS en línia, introduïu un domini per veure si el certificat és vàlid, si el domini coincideix, els dies restants, la versió TLS, els conjunts de xifratge i la llista SAN, el backend inicia l'encaix sense problemes de CORS.
Els certificats SSL caducats, els dominis que no coincideixen i els errors de configuració són els tipus de fallada més habituals per als llocs web HTTPS. Després que un certificat hagi caducat, els navegadors mostraran un avís "no segur" que fa que els visitants se'n vagin, i el rànquing de cerca de Google també es veurà afectat. La comprovació periòdica i la renovació anticipada són tasques de manteniment bàsiques per garantir que HTTPS funcioni correctament.
SSL Labs fa una puntuació profunda (incloent proves completes de protocols, conjunts, vulnerabilitats, triga uns 2 minuts), aquesta eina fa una comprovació bàsica ràpida (els resultats tornen en 1-3 segons), cobreix informació clau com la validesa del certificat, el període de validesa, la versió TLS, els conjunts de xifratge, la llista SAN, apta per a la verificació ràpida abans del llançament, la confirmació de renovació i la resolució de problemes.
Possibles causes: 1) El lloc web bloqueja les adreces IP estrangeres (el servidor de comprovació és a l'estranger); 2) El servidor fa distinció SNI però la configuració és incompleta; 3) S'està utilitzant un certificat autosignat per a la intranet corporativa; 4) El tallafocs bloqueja els nodes de comprovació. Que la comprovació falli no vol dir que el certificat tingui problemes, cal avaluar-ho segons la informació d'error específica.
TLS 1.3 (2018, RFC 8446) és la versió més recent, la velocitat de l'encaix s'ha millorat de 2-RTT a TLS 1.2 a 1-RTT fins i tot 0-RTT, s'han eliminat algoritmes insegurs com l'intercanvi de claus RSA, RC4, SHA-1, Forward Secrecy s'activa per defecte, la seguretat i el rendiment han millorat notablement. Els nous desplegaments haurien de donar suport preferentment a TLS 1.3 i mantenir TLS 1.2 per a la compatibilitat amb clients antics.
Es recomana començar a preparar la renovació 30 dies abans que caduqui, i completar el desplegament almenys 7 dies abans. L'eina utilitza avisos de color: >30 dies verd (normal), 7-30 dies groc (caldria renovar), <7 dies vermell (urgent). Els certificats Let's Encrypt tenen una validesa de 90 dies, es recomana configurar la renovació automàtica.
Let's EncryptSAN (Subject Alternative Name) és la llista de dominis/IP al certificat que es permet utilitzar. Els navegadors moderns (Chrome 58+) ja no confien en el camp Common Name(CN), només comproven SAN. Si el domini que s'està visitant no és a la llista SAN, els navegadors informaran d'un error "el domini no coincideix". Un certificat pot cobrir diversos dominis mitjançant SAN (per exemple example.com, www.example.com, api.example.com).
Les empremtes digitals del certificat (SHA-1/SHA-256) són valors hash del contingut del certificat, es poden utilitzar per a HPKP (obsolet), Certificate Pinning, i per verificar manualment si el certificat desplegat coincideix amb l'esperat, per exemple confirmar si el CDN ha carregat correctament el nou certificat, o comparar certificats entre diversos servidors. Nota: Les empremtes digitals SHA-1 només s'utilitzen per a la identificació, no s'han d'utilitzar per a la verificació de seguretat.
La verificació de certificats SSL/TLS és el procés d'iniciar un encaix TLS des del client, obtenir i analitzar la informació del certificat retornada pel servidor objectiu, per determinar si la configuració HTTPS és correcta. Els elements de comprovació clau inclouen: si el certificat està dins del període de validesa, si el domini visitat és a la llista permesa del certificat (coincidència SAN), si la cadena de certificats és completa i fiable, si la versió del protocol TLS i els conjunts de xifratge utilitzats són segurs, etc.
**Per què la verificació de certificats és tan important?** Els certificats SSL són la base de confiança d'HTTPS. Quan un certificat té problemes (el més habitual és que caduqui), els navegadors blocaran immediatament l'accés i mostraran una pàgina d'avís vermella "La vostra connexió no és privada", cosa que causa danys directes al trànsit del lloc web, les taxes de conversió, el rànquing SEO i la confiança en la marca. Segons el monitoratge, la caducitat dels certificats és la causa més habitual de fallades d'HTTPS, representant més del 40% de tots els incidents d'HTTPS.
**Quina diferència hi ha amb l'accés directe al navegador?** L'accés del navegador pot estar influït per la memòria cau, HSTS, proxys corporatius, certificats de client i altres factors que causen desviacions; mentre que les eines de verificació de certificats inicien un encaix TLS estàndard des d'un node independent i retornen informació de certificat objectiva i estandarditzada, adequada per a escenaris de verificació operativa. Aquesta eina inicia els encaixos TLS directament des del servidor backend, **sense restriccions CORS del navegador**, i pot comprovar qualsevol domini HTTPS accessible públicament.
**Informació clau que aquesta eina comprova**: Estat d'autorització del certificat (si és vàlid o no), informació d'error authorizationError específica, versió del protocol TLS (TLS 1.2/1.3), conjunt de xifratge negociat (Cipher), resultat de la negociació del protocol ALPN (h2/http/1.1), emissor del certificat (Subject/Issuer), dates de validesa (validFrom/validTo), dies restants (amb avisos de color), llista SAN Subject Alternative Name, empremtes digitals SHA-1/SHA-256, temps de resposta i detalls JSON complets.
Els resultats normalment es retornen en 1-3 segons, adequats per a escenaris com la verificació ràpida abans del llançament, la confirmació de renovació, la resolució de problemes, etc. Si necessiteu una puntuació profunda (com la classificació A+-F de SSL Labs, incloent renegociació, proves de vulnerabilitats, nivell de suport de protocols, etc.), es recomana utilitzar-la juntament amb SSL Labs Server Test.
| Versió del protocol | Any de publicació | Estat actual | Notes |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Obsolet/insegur | Té vulnerabilitats greus com POODLE, tots els navegadors moderns l'han desactivat |
TLS 1.0 | 1999 | ❌ Obsolet | Vulnerabilitats com BEAST, CRIME, prohibit des de PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Obsolet | Oficialment obsolet a RFC 8996, Chrome/Firefox van eliminar el suport des del 2020 |
TLS 1.2 | 2008 | ⚠️ Ampliament suportat (transició) | Actualment el més desplegat, amb la millor compatibilitat, però amb risc d'alguns conjunts de xifratge febles |
TLS 1.3 | 2018 (RFC 8446) | ✅ Recomanat | Encaix més ràpid (1-RTT/0-RTT), eliminació d'algoritmes febles, primera opció per als navegadors moderns |
| Dies restants | Color d'estat | Acció recomanada |
|---|---|---|
| >30 dies | 🟢 Verd (normal) | No cal cap acció, només cal comprovar periòdicament |
| 7-30 dies | 🟡 Groc (avís) | Inicieu el procés de renovació el més aviat possible, assegureu-vos de completar la substitució abans que caduqui |
| <7 dies | 🔴 Vermell (urgent) | Renueveu immediatament, després de caducar els navegadors blocaran l'accés |
| 0 dies/caducat | 🔴 Vermell (caducat) | El certificat no és vàlid, els usuaris veuran un avís de seguretat, cal tractar-lo immediatament |
| Tipus d'error | Causa habitual | Direcció de solució |
|---|---|---|
| Certificat caducat (expired) | El certificat no s'ha renovat després de la data validTo | Renueveu a temps i desplegueu el nou certificat |
| El domini no coincideix (name mismatch) | El domini actual no és a la llista SAN del certificat | Emtene un nou certificat que contingui el domini objectiu, o comproveu la configuració de l'origen del CDN |
| Cadena de certificats incompleta (incomplete chain) | El servidor no ha configurat correctament els certificats intermedis | Combineu els certificats intermedis amb el certificat fulla per desplegar-los |
| Certificat autosignat (self-signed) | El certificat ha estat signat per una CA privada, no és de confiança pública | Utilitzeu un certificat emès per una CA pública com Let's Encrypt |
| Emissor no fiable (untrusted issuer) | El certificat arrel de la CA no és al magatzem de confiança del navegador | Substituïu-lo per un certificat emès per una CA de confiança |
