Initiate TLS handshake diretamente dal server, leggi il certificato, negozia il protocollo e la validità residua.
Verifica i certificati SSL/TLS online. Inserisci un dominio per visualizzare validità del certificato, corrispondenza dominio, giorni rimanenti, versione TLS, suite di cifratura e lista SAN. L'handshake viene avviato dal backend senza problemi CORS.
La scadenza dei certificati, la mancata corrispondenza di domini e gli errori di configurazione sono i tipi di guasto più comuni per i siti web HTTPS. Dopo la scadenza, i browser visualizzano un avviso 'Non sicuro' causando perdita di visitatori e anche il ranking di ricerca Google viene influenzato. La verifica regolare e il rinnovo anticipato sono attività DevOps di base per garantire il funzionamento normale di HTTPS.
SSL Labs esegue un punteggio approfondito (inclusi test completi di protocolli, suite, vulnerabilità, impiegando circa 2 minuti), mentre questo strumento esegue verifiche rapide di base (restituisce risultati in 1-3 secondi), coprendo informazioni centrali come validità del certificato, scadenza, versione TLS, suite di cifratura e lista SAN, adatto per la validazione rapida prima del lancio, conferma di rinnovo e risoluzione dei problemi.
Possibili cause: 1) Il sito web blocca IP stranieri (i server di verifica sono all'estero); 2) Il server effettua differenziazione SNI ma la configurazione è incompleta; 3) Utilizza un certificato autofirmato di intranet aziendale; 4) Il firewall blocca i nodi di verifica. Il fallimento della verifica non significa che il certificato ha problemi; deve essere giudicato in base a messaggi di errore specifici.
TLS 1.3 (2018, RFC 8446) è l'ultima versione, con velocità di handshake migliorata da 2-RTT di TLS 1.2 a 1-RTT o addirittura 0-RTT, rimuovendo algoritmi non sicuri come scambio di chiavi RSA, RC4 e SHA-1, abilitando Forward Secrecy per impostazione predefinita, con miglioramenti significativi sia in sicurezza che in prestazioni. Per nuovi deployment si consiglia di dare priorità al supporto di TLS 1.3 mantenendo TLS 1.2 per la compatibilità con client vecchi.
Si consiglia di iniziare la preparazione del rinnovo 30 giorni prima della scadenza e completare la distribuzione almeno 7 giorni prima. Lo strumento utilizza avvisi colore: >30 giorni verde (normale), 7-30 giorni giallo (deve rinnovare), <7 giorni rosso (urgente). I certificati Let's Encrypt hanno una validità di 90 giorni; si consiglia di configurare il rinnovo automatico.
Let's EncryptSAN (Subject Alternative Name, Nome Alternativo del Soggetto) è una lista di domini/IP dichiarati come consentiti per l'uso nel certificato. I browser moderni (Chrome 58+) non si fidano più del campo Common Name (CN) e verificano solo SAN. Se il dominio accesso non è nella lista SAN, i browser segnaleranno un errore di 'mancata corrispondenza nome'. Un certificato può coprire più domini tramite SAN (es. example.com, www.example.com, api.example.com).
Le impronte digitali del certificato (SHA-1/SHA-256) sono valori hash del contenuto del certificato, utilizzabili per HPKP (obsoleto), pinning del certificato e verifica manuale che i certificati distribuiti corrispondano alle attese — ad esempio, confermare se CDN ha caricato correttamente nuovi certificati o verificare se i certificati sono identici tra più server. Nota: Le impronte SHA-1 sono solo per identificazione e non devono essere utilizzate per la verifica di sicurezza.
La verifica dei certificati SSL/TLS è il processo di avvio di un handshake TLS dal client per ottenere e analizzare le informazioni del certificato restituite dal server target, determinando così se la configurazione HTTPS è corretta. Gli elementi centrali di verifica includono: se il certificato è entro il suo periodo di validità, se il dominio di accesso è nella lista consentita del certificato (corrispondenza SAN), se la catena di certificati è completa e attendibile, se la versione del protocollo TLS e le suite di cifratura utilizzate sono sicure, ecc.
**Perché la verifica dei certificati è così importante?** I certificati SSL sono la base di fiducia di HTTPS. Una volta che si verificano problemi con il certificato (il più comune è la scadenza), i browser bloccano direttamente l'accesso, visualizzando una pagina di avviso rossa 'La connessione non è privata', causando danni diretti al traffico del sito web, ai tassi di conversione, al ranking SEO e alla fiducia del marchio. Secondo il monitoraggio, la scadenza dei certificati è la causa più comune di guasti HTTPS, rappresentando oltre il 40% di tutti gli incidenti HTTPS.
**In cosa è diverso dall'accedere direttamente in un browser?** L'accesso tramite browser può presentare deviazioni dovute a cache, HSTS, proxy aziendali, certificati client, ecc.; mentre gli strumenti di verifica dei certificati avviano handshake TLS standard da nodi indipendenti, restituendo informazioni del certificato oggettive e standardizzate adatte per scenari di validazione DevOps. Questo strumento avvia handshake TLS direttamente dai server backend, **senza restrizioni CORS del browser**, e può verificare qualsiasi dominio HTTPS accessibile pubblicamente.
**Informazioni centrali verificate da questo strumento**: Stato di autorizzazione del certificato (valido o meno), messaggi di errore specifici authorizationError, versione del protocollo TLS (TLS 1.2/1.3), suite di cifratura negoziata (Cipher), risultati negoziazione protocollo ALPN (h2/http/1.1), emittente del certificato (Subject/Issuer), date di inizio e fine periodo di validità (validFrom/validTo), giorni rimanenti (con avvisi colore), lista Nomi Alternativi del Soggetto SAN, impronte SHA-1/SHA-256, tempo di risposta e dettagli JSON completi.
I risultati della verifica vengono generalmente restituiti in 1-3 secondi, adatti per scenari come validazione rapida prima del lancio, conferma di rinnovo e risoluzione dei problemi. Per un punteggio approfondito (come il rating A+-F di SSL Labs inclusa rinegoziazione, test di vulnerabilità, supporto protocolli, ecc.), si consiglia di utilizzare insieme a SSL Labs Server Test.
| Versione Protocollo | Anno di Rilascio | Stato Attuale | Note |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Obsoleto/Non sicuro | Contiene vulnerabilità critiche come POODLE; disabilitato da tutti i browser moderni |
TLS 1.0 | 1999 | ❌ Obsoleto | Vulnerabilità BEAST, CRIME; proibito da PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Obsoleto | Ufficialmente obsoleto in RFC 8996; Chrome/Firefox hanno rimosso il supporto nel 2020 |
TLS 1.2 | 2008 | ⚠️ Ampiamente Supportato (Transizione) | Attualmente il più diffuso con migliore compatibilità, ma presenta rischi di alcune suite di cifratura deboli |
TLS 1.3 | 2018 (RFC 8446) | ✅ Consigliato | Handshake più veloce (1-RTT/0-RTT), algoritmi deboli rimossi, preferito dai browser moderni |
| Giorni Rimanenti | Colore Stato | Azione Consigliata |
|---|---|---|
| >30 giorni | 🟢 Verde (Normale) | Nessuna azione necessaria; controllare periodicamente |
| 7-30 giorni | 🟡 Giallo (Avviso) | Avviare il processo di rinnovo il prima possibile per garantire la sostituzione prima della scadenza |
| <7 giorni | 🔴 Rosso (Urgente) | Rinnovare immediatamente; i browser bloccheranno l'accesso dopo la scadenza |
| 0 giorni/Scaduto | 🔴 Rosso (Scaduto) | Il certificato non è valido; gli utenti visualizzeranno avvisi di sicurezza e deve essere gestito immediatamente |
| Tipo di Errore | Cause Comuni | Direzione Soluzione |
|---|---|---|
| Certificato scaduto (expired) | Il certificato non è stato rinnovato oltre la data validTo | Rinnovare e distribuire rapidamente un nuovo certificato |
| Mancata corrispondenza nome (name mismatch) | Il dominio di accesso attuale non è nella lista SAN del certificato | Riemettere il certificato includendo il dominio target o verificare la configurazione origine CDN |
| Catena incompleta (incomplete chain) | Il server non ha configurato correttamente i certificati intermedi | Distribuire il certificato intermedio combinato con il certificato foglia |
| Certificato autofirmato (self-signed) | Il certificato è stato emesso da una CA privata, non è pubblicamente attendibile | Utilizzare una CA pubblicamente attendibile come Let's Encrypt per emettere il certificato |
| Emittente non attendibile (untrusted issuer) | Il certificato radice della CA non è nel repository di fiducia del browser | Sostituire con un certificato emesso da una CA attendibile |
