Zainicjuj uzgadnianie TLS bezpośrednio z serwera, odczytaj certyfikat, negocjuj protokół i pozostały czas ważności.
Sprawdź online certyfikaty SSL/TLS, wprowadź domenę aby zobaczyć czy certyfikat jest ważny, domena się zgadza, pozostałe dni, wersja TLS, zestawy szyfrów i lista SAN, backend inicjuje uzgadnianie bez problemów CORS.
Wygasłe certyfikaty SSL, niezgodność domen i błędy konfiguracji to najczęstsze typy awarii witryn HTTPS. Po wygaśnięciu certyfikatu przeglądarki wyświetlają ostrzeżenie „niezabezpieczone”, które odstrasza odwiedzających, a także ma wpływ na pozycję w wyszukiwarce Google. Regularne sprawdzanie i wczesne odnawianie to podstawowe zadania konserwacyjne zapewniające prawidłowe działanie HTTPS.
SSL Labs wykonuje dogłębną ocenę (w tym kompleksowe testy protokołów, zestawów, luk bezpieczeństwa, trwa około 2 minut), to narzędzie wykonuje szybkie podstawowe sprawdzanie (wyniki w 1-3 sekundy), obejmuje podstawowe informacje takie jak ważność certyfikatu, okres ważności, wersja TLS, zestawy szyfrów, lista SAN, odpowiednie do szybkiej weryfikacji przed uruchomieniem, potwierdzenia odnowienia, rozwiązywania błędów.
Możliwe przyczyny: 1) Witryna blokuje zagraniczne adresy IP (serwer sprawdzający znajduje się za granicą); 2) Serwer dokonuje rozróżnienia SNI ale konfiguracja jest niekompletna; 3) Używany jest certyfikat samopodpisany dla intranetu korporacyjnego; 4) Firewall blokuje węzły sprawdzające. Niepowodzenie sprawdzania nie oznacza że certyfikat ma problem, należy ocenić na podstawie konkretnych informacji o błędzie.
TLS 1.3 (2018, RFC 8446) to najnowsza wersja, szybkość uzgadniania poprawiona z 2-RTT w TLS 1.2 do 1-RTT a nawet 0-RTT, usunięto niebezpieczne algorytmy takie jak wymiana kluczy RSA, RC4, SHA-1, domyślnie włączono Forward Secrecy, bezpieczeństwo i wydajność uległy znacznej poprawie. Nowe wdrożenia powinny preferencyjnie obsługiwać TLS 1.3 i zachować TLS 1.2 dla kompatybilności ze starymi klientami.
Zaleca się rozpoczęcie przygotowań do odnowienia 30 dni przed wygaśnięciem, a zakończenie wdrożenia co najmniej 7 dni wcześniej. Narzędzie używa ostrzeżeń kolorystycznych: >30 dni zielony (normalny), 7-30 dni żółty (należy odnowić), <7 dni czerwony (pilne). Certyfikaty Let's Encrypt są ważne 90 dni, zaleca się automatyczne odnawianie.
Let's EncryptSAN (Subject Alternative Name) to lista domen/adresów IP w certyfikacie, które są dozwolone do użycia. Nowoczesne przeglądarki (Chrome 58+) nie ufają już polu Common Name(CN) i sprawdzają tylko SAN. Jeśli odwiedzana domena nie znajduje się na liście SAN, przeglądarki zgłoszą błąd „niezgodność domeny”. Jeden certyfikat może obejmować wiele domen poprzez SAN (np. example.com, www.example.com, api.example.com).
Odciski palców certyfikatu (SHA-1/SHA-256) to wartości skrótu treści certyfikatu, które mogą być używane do HPKP (przestarzałe), Certificate Pinning oraz ręcznej weryfikacji czy wdrożony certyfikat zgadza się z oczekiwanym, np. aby potwierdzić czy CDN poprawnie załadował nowy certyfikat lub porównać certyfikaty między wieloma serwerami. Uwaga: odciski palców SHA-1 są używane tylko do identyfikacji, nie do weryfikacji bezpieczeństwa.
Sprawdzanie certyfikatów SSL/TLS to proces polegający na inicjowaniu uzgadniania TLS z klienta, pobieraniu i analizowaniu informacji o certyfikacie zwróconych przez docelowy serwer w celu określenia czy konfiguracja HTTPS jest poprawna. Podstawowe punkty sprawdzania obejmują: czy certyfikat mieści się w okresie ważności, odwiedzana domena znajduje się na liście dozwolonych certyfikatu (zgodność SAN), łańcuch certyfikatów jest kompletny i zaufany, używane wersje protokołu TLS i zestawy szyfrów są bezpieczne itp.
**Dlaczego sprawdzanie certyfikatów jest tak ważne?** Certyfikaty SSL stanowią podstawę zaufania HTTPS. Gdy wystąpi problem z certyfikatem (najczęściej wygaśnięcie), przeglądarki natychmiast blokują dostęp i wyświetlają czerwoną stronę ostrzeżenia „Twoje połączenie nie jest prywatne”, co bezpośrednio szkodzi ruchowi witryny, współczynnikom konwersji, pozycji SEO i zaufaniu do marki. Według monitorowania wygaśnięcie certyfikatu jest najczęstszą przyczyną awarii HTTPS, odpowiadając za ponad 40% wszystkich incydentów HTTPS.
**Co jest innego w porównaniu z bezpośrednim dostępem przez przeglądarkę?** Dostęp przez przeglądarkę może być pod wpływem pamięci podręcznej, HSTS, proxy korporacyjnych, certyfikatów klientów i innych czynników powodujących odchylenia; podczas gdy narzędzia do sprawdzania certyfikatów inicjują standardowe uzgadnianie TLS z niezależnego węzła i zwracają obiektywne, ustandaryzowane informacje o certyfikacie, odpowiednie do scenariuszy weryfikacji operacyjnej. To narzędzie inicjuje uzgadnianie TLS bezpośrednio z serwera backendowego, **bez ograniczeń CORS przeglądarki**, i może sprawdzić dowolną publicznie dostępną domenę HTTPS.
**Podstawowe informacje sprawdzane przez to narzędzie**: Status autoryzacji certyfikatu (ważny czy nie), konkretne informacje o błędzie authorizationError, wersja protokołu TLS (TLS 1.2/1.3), negocjowany zestaw szyfrów (Cipher), wynik negocjacji protokołu ALPN (h2/http/1.1), wystawca certyfikatu (Subject/Issuer), daty ważności (validFrom/validTo), pozostałe dni (z ostrzeżeniami kolorystycznymi), lista SAN Subject Alternative Name, odciski palców SHA-1/SHA-256, czas odpowiedzi oraz pełne szczegóły JSON.
Wyniki są zwykle zwracane w ciągu 1-3 sekund, odpowiednie do scenariuszy takich jak szybka weryfikacja przed uruchomieniem, potwierdzenie odnowienia, rozwiązywanie błędów itp. Do dogłębnej oceny (takiej jak klasyfikacja A+-F SSL Labs, w tym renegocjacja, testy luk, obsługa protokołów itp.), zaleca się użycie SSL Labs Server Test.
| Wersja protokołu | Rok wydania | Aktualny status | Uwagi |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Przestarzałe/niebezpieczne | Poważne luki bezpieczeństwa takie jak POODLE, wyłączone we wszystkich nowoczesnych przeglądarkach |
TLS 1.0 | 1999 | ❌ Przestarzałe | Luki bezpieczeństwa takie jak BEAST, CRIME, zabronione od PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Przestarzałe | Oficjalnie przestarzałe w RFC 8996, usunięte z Chrome/Firefox od 2020 |
TLS 1.2 | 2008 | ⚠️ Szeroko obsługiwane (przejściowe) | Najszerzej wdrożone obecnie, najlepsza kompatybilność, ale ryzyko niektórych słabych zestawów szyfrów |
TLS 1.3 | 2018 (RFC 8446) | ✅ Zalecane | Szybsze uzgadnianie (1-RTT/0-RTT), usunięcie słabych algorytmów, pierwszy wybór dla nowoczesnych przeglądarek |
| Pozostałe dni | Kolor statusu | Zalecana akcja |
|---|---|---|
| >30 dni | 🟢 Zielony (normalny) | Nie wymaga działań, wystarczy regularnie sprawdzać |
| 7-30 dni | 🟡 Żółty (ostrzeżenie) | Jak najszybciej rozpocznij proces odnawiania, upewnij się że wymiana zostanie zakończona przed wygaśnięciem |
| <7 dni | 🔴 Czerwony (pilne) | Odnów natychmiast, po wygaśnięciu przeglądarki zablokują dostęp |
| 0 dni/wygasły | 🔴 Czerwony (wygasły) | Certyfikat jest nieważny, użytkownicy zobaczą ostrzeżenie bezpieczeństwa, należy natychmiast obsłużyć |
| Typ błędu | Typowa przyczyna | Kierunek rozwiązania |
|---|---|---|
| Certyfikat wygasł (expired) | Certyfikat nie został odnowiony po dacie validTo | Terminowe odnowienie i wdrożenie nowego certyfikatu |
| Niezgodność domeny (name mismatch) | Bieżąca domena nie znajduje się na liście SAN certyfikatu | Wydaj nowy certyfikat zawierający domenę docelową lub sprawdź konfigurację źródła CDN |
| Niekompletny łańcuch certyfikatów (incomplete chain) | Serwer nie poprawnie skonfigurował certyfikatów pośrednich | Połącz certyfikaty pośrednie z certyfikatem liściowym do wdrożenia |
| Certyfikat samopodpisany (self-signed) | Certyfikat został podpisany przez prywatne CA, nie jest publicznie zaufany | Użyj certyfikatu wydanego przez publiczne CA takie jak Let's Encrypt |
| Niezaufany wystawca (untrusted issuer) | Certyfikat główny CA nie znajduje się w magazynie zaufanych przeglądarki | Zamień na certyfikat wydany przez zaufane CA |
