Nachin TLS handshake napravo s servera, prochitat sertifiknya, soglashivat protokol i ostavshyesya srok deystviya.
Проверяйте SSL/TLS-сертификаты онлайн. Введите домен, чтобы увидеть действительность сертификата, соответствие домена, оставшиеся дни, версию TLS, наборы шифров и список SAN. Handshake инициируется из бэкенда без проблем с CORS.
Истечение сертификатов, несоответствие доменов и ошибки конфигурации являются наиболее распространенными типами сбоев для HTTPS-сайтов. После истечения браузеры отображают предупреждение «Не защищено», что приводит к потере посетителей, а также влияет на рейтинг в поиске Google. Регулярная проверка и раннее обновление — базовые задачи DevOps для обеспечения нормальной работы HTTPS.
SSL Labs выполняет глубокое оценивание (включая комплексное тестирование протоколов, наборов шифров, уязвимостей, занимает около 2 минут), а этот инструмент выполняет быстрые базовые проверки (возвращает результаты за 1-3 секунды), охватывая основную информацию, такую как действительность сертификата, срок действия, версия TLS, наборы шифров и список SAN, подходит для быстрой валидации перед запуском, подтверждения обновления и устранения неполадок.
Возможные причины: 1) Веб-сайт блокирует зарубежные IP (серверы проверки находятся за рубежом); 2) Сервер выполняет разделение SNI, но конфигурация неполная; 3) Используется самоподписанный сертификат корпоративной интрасети; 4) Брандмауэр блокирует узлы проверки. Сбой проверки не означает, что сертификат имеет проблемы; необходимо судить на основе конкретных сообщений об ошибках.
TLS 1.3 (2018, RFC 8446) — последняя версия, со скоростью handshake, улучшенной с 2-RTT в TLS 1.2 до 1-RTT или даже 0-RTT, удалены небезопасные алгоритмы, такие как обмен ключами RSA, RC4 и SHA-1, Forward Secrecy включен по умолчанию, со значительными улучшениями как в безопасности, так и в производительности. Для новых развертываний рекомендуется приоритетизировать поддержку TLS 1.3, сохраняя TLS 1.2 для совместимости со старыми клиентами.
Рекомендуется начинать подготовку к обновлению за 30 дней до истечения и завершить развертывание как минимум за 7 дней до этого. Инструмент использует цветовые оповещения: >30 дней зеленый (нормально), 7-30 дней желтый (следует обновить), <7 дней красный (срочно). Сертификаты Let's Encrypt имеют срок действия 90 дней; рекомендуется настроить автоматическое обновление.
Let's EncryptSAN (Subject Alternative Name, альтернативное имя субъекта) — это список доменов/IP, разрешенных для использования в сертификате. Современные браузеры (Chrome 58+) больше не доверяют полю Common Name (CN) и проверяют только SAN. Если домен доступа отсутствует в списке SAN, браузеры сообщат об ошибке «несоответствие имени». Один сертификат может охватывать несколько доменов через SAN (например example.com, www.example.com, api.example.com).
Отпечатки сертификатов (SHA-1/SHA-256) — это хэш-значения содержимого сертификата, которые можно использовать для HPKP (устарело), закрепления сертификатов (Certificate Pinning) и ручной проверки того, что развернутые сертификаты соответствуют ожидаемым — например, подтвердить, правильно ли CDN загрузил новые сертификаты, или проверить идентичность сертификатов на нескольких серверах. Примечание: Отпечатки SHA-1 предназначены только для идентификации и не должны использоваться для проверки безопасности.
Проверка SSL/TLS-сертификатов — это процесс инициирования TLS-handshake от клиента для получения и анализа информации о сертификате, возвращаемой целевым сервером, и тем самым определения правильности конфигурации HTTPS. Основные элементы проверки включают: находится ли сертификат в пределах срока действия, находится ли домен доступа в списке разрешенных сертификата (соответствие SAN), является ли цепочка сертификатов полной и доверенной, безопасны ли используемая версия протокола TLS и наборы шифров и т.д.
**Почему проверка сертификатов так важна?** SSL-сертификаты — это основа доверия HTTPS. Как только возникают проблемы с сертификатом (наиболее распространенное — истечение), браузеры напрямую блокируют доступ, отображая красную страницу предупреждения «Ваше подключение не защищено», нанося прямой ущерб трафику веб-сайта, коэффициентам конверсии, SEO-рейтингу и доверию к бренду. По данным мониторинга, истечение сертификатов является наиболее распространенной причиной сбоев HTTPS, составляя более 40% всех инцидентов HTTPS.
**Чем это отличается от прямого доступа в браузере?** Доступ через браузер может иметь отклонения из-за кэша, HSTS, корпоративных прокси, клиентских сертификатов и т.д.; в то время как инструменты проверки сертификатов инициируют стандартные TLS-handshake из независимых узлов, возвращая объективную, стандартизированную информацию о сертификате, подходящую для сценариев валидации DevOps. Этот инструмент инициирует TLS-handshake напрямую из бэкенд-серверов, **без ограничений CORS браузера**, и может проверять любой общедоступный HTTPS-домен.
**Основная информация, проверяемая этим инструментом**: Статус авторизации сертификата (действителен или нет), конкретные сообщения об ошибках authorizationError, версия протокола TLS (TLS 1.2/1.3), согласованный набор шифров (Cipher), результаты согласования протокола ALPN (h2/http/1.1), издатель сертификата (Subject/Issuer), даты начала и окончания срока действия (validFrom/validTo), оставшиеся дни (с цветовыми оповещениями), список альтернативных имен субъекта SAN, отпечатки SHA-1/SHA-256, время ответа и полные сведения JSON.
Результаты проверки обычно возвращаются за 1-3 секунды, подходят для таких сценариев, как быстрая валидация перед запуском, подтверждение обновления и устранение неполадок. Для глубокого оценивания (например, рейтинг A+-F от SSL Labs, включая пересогласование, тестирование уязвимостей, поддержку протоколов и т.д.) рекомендуется использовать вместе с SSL Labs Server Test.
| Версия протокола | Год выпуска | Текущий статус | Примечания |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Устаревший/небезопасный | Содержит критические уязвимости, такие как POODLE; отключен всеми современными браузерами |
TLS 1.0 | 1999 | ❌ Устаревший | Уязвимости BEAST, CRIME; запрещен с PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Устаревший | Официально устарел в RFC 8996; Chrome/Firefox удалили поддержку в 2020 |
TLS 1.2 | 2008 | ⚠️ Широко поддерживается (переходный) | В настоящее время наиболее широко развернут с лучшей совместимостью, но имеет риски некоторых слабых наборов шифров |
TLS 1.3 | 2018 (RFC 8446) | ✅ Рекомендуется | Более быстрый handshake (1-RTT/0-RTT), удалены слабые алгоритмы, предпочитается современными браузерами |
| Оставшиеся дни | Цвет статуса | Рекомендуемое действие |
|---|---|---|
| >30 дней | 🟢 Зеленый (нормально) | Действий не требуется; проверяйте периодически |
| 7-30 дней | 🟡 Желтый (предупреждение) | Как можно скорее начать процесс обновления, чтобы обеспечить замену до истечения |
| <7 дней | 🔴 Красный (срочно) | Немедленно обновить; браузеры заблокируют доступ после истечения |
| 0 дней/истек | 🔴 Красный (истек) | Сертификат недействителен; пользователи увидят предупреждения безопасности, требуется немедленное решение |
| Тип ошибки | Распространенные причины | Направление решения |
|---|---|---|
| Сертификат истек (expired) | Сертификат не был обновлен после даты validTo | Своевременно обновить и развернуть новый сертификат |
| Несоответствие имени (name mismatch) | Текущий домен доступа отсутствует в списке SAN сертификата | Перевыпустить сертификат, включая целевой домен, или проверить конфигурацию источника CDN |
| Неполная цепочка (incomplete chain) | Сервер неправильно настроил промежуточные сертификаты | Развернуть промежуточный сертификат в сочетании с листовым сертификатом |
| Самоподписанный сертификат (self-signed) | Сертификат выдан частным CA, не является общедоступным доверенным | Использовать общедоступный доверенный CA, такой как Let's Encrypt, для выдачи сертификата |
| Недоверенный издатель (untrusted issuer) | Корневой сертификат CA отсутствует в хранилище доверия браузера | Заменить сертификатом, выданным доверенным CA |
