ตัวตรวจสอบใบรับรอง SSL

โซนด์ใบรับรอง

เริ่ม TLS handshake โดยตรงจากเซิร์ฟเวอร์ อ่านใบรับรอง เจรจาโปรโตคอล และอายุที่เหลือ

ตรวจสอบใบรับรอง SSL/TLS ออนไลน์ ป้อนโดเมนเพื่อดูว่าใบรับรองถูกต้องหรือไม่ โดเมนตรงกันหรือไม่ จำนวนวันที่เหลือ เวอร์ชัน TLS ชุดเข้ารหัส และรายการ SAN แบ็กเอนด์เริ่มการจับมือไม่มีปัญหา CORS

คำแนะนำที่เกี่ยวข้อง

ตรวจสอบส่วนหัวความปลอดภัย

HSTS Analyzer

CSP Builder

HTTP Headers Checker

เครื่องมือตรวจสอบห่วงโซ่การเปลี่ยนเส้นทาง

ค้นหา WHOIS

กรณีการใช้งาน

ตรวจสอบอย่างรวดเร็วว่า HTTPS ทำงานถูกต้องหรือไม่ก่อนเปิดตัวเว็บไซต์/หลังต่ออายุใบรับรอง
การเตือนใบรับรองหมดอายุ: ตรวจสอบจำนวนวันที่เหลือเป็นประจำเพื่อหลีกเลี่ยงการขัดข้องการเข้าถึงที่เกิดจากการหมดอายุโดยไม่คาดคิด
แก้ไขข้อผิดพลาด HTTPS ในเบราว์เซอร์: ระบุว่าเป็นปัญหาหมดอายุ โดเมนไม่ตรงกัน หรือห่วงโซ่ใบรับรอง
ตรวจสอบว่าใบรับรองโหนดขอบถูกโหลดอย่างถูกต้องหรือไม่หลังจากปรับใช้ CDN/พร็อกซีย้อนกลับ
ตรวจสอบว่าเวอร์ชันโปรโตคอล TLS และชุดเข้ารหัสเป็นไปตามข้อกำหนดความปลอดภัยและการปฏิบัติตามกฎระเบียบหรือไม่
ตรวจสอบว่ารายการ SAN ครอบคลุมโดเมนเป้าหมายทั้งหมดหรือไม่หลังจากปรับใช้ใบรับรองหลายโดเมน

คุณสมบัติ

การจับมือ TLS แบ็กเอนด์: เริ่มการเชื่อมต่อ TLS โดยตรงจากเซิร์ฟเวอร์ ไม่มีข้อจำกัด CORS ของเบราว์เซอร์ สามารถตรวจสอบโดเมนสาธารณะใดๆ ได้
การประเมินสถานะการอนุญาตทันที: ดูได้อย่างรวดเร็วว่าใบรับรองถูกต้องหรือไม่ โดเมนตรงกันหรือไม่ และข้อมูลข้อผิดพลาดการอนุญาต
การเตือนสีสำหรับจำนวนวันที่เหลือ: >30 วัน เขียว, 7-30 วัน เหลือง, <7 วัน แดง ประเมินเวลาต่ออายุได้อย่างรวดเร็ว
การกำหนดค่าหลักในพริบตา: เวอร์ชันโปรโตคอล TLS, Cipher, ผลลัพธ์การเจรจา ALPN สามารถมองเห็นได้โดยตรง
แสดงรายการ SAN อย่างสมบูรณ์: Subject Alternative Name ทั้งหมดแสดงเป็นแท็ก มากกว่า 8 สามารถขยายเพื่อดูทั้งหมดได้
คัดลอกลายนิ้วมือคู่ด้วยคลิกเดียว: ลายนิ้วมือ SHA-1 และ SHA-256 แสดงแยกกันและรองรับการคัดลอกด้วยคลิกเดียว
ส่งออก JSON สมบูรณ์: สามารถขยายเพื่อดูโครงสร้าง JSON สมบูรณ์ของใบรับรอง รองรับการคัดลอกด้วยคลิกเดียวสำหรับการตรวจสอบเชิงลึกและการเก็บถาวร

วิธีการใช้งาน

ป้อนโดเมนที่ต้องการตรวจสอบ (เช่น geekformat.com ไม่ต้องมีคำนำหน้า https://)
คลิกปุ่ม 'ตรวจสอบใบรับรอง' รอ 1-3 วินาทีเพื่อรับผลลัพธ์การจับมือ TLS
ขั้นแรกดูสถานะการอนุญาต (เขียว ถูกต้อง/แดง ไม่ถูกต้อง) และสีของจำนวนวันที่เหลือ
ตรวจสอบว่าเวอร์ชัน TLS, Cipher, การเจรจา ALPN เป็นไปตามที่คาดหวังหรือไม่
ดู Subject/Issuer ระยะเวลาที่ใช้งานได้ รายการ SAN เพื่อยืนยันว่าข้อมูลใบรับรองถูกต้อง
หากต้องการตรวจสอบเชิงลึก ขยายรายละเอียด JSON เพื่อดูโครงสร้างใบรับรองสมบูรณ์และคัดลอกเพื่อเก็บถาวร

คำถามที่พบบ่อย

เหตุใดจึงต้องตรวจสอบใบรับรอง SSL

ใบรับรอง SSL ที่หมดอายุ โดเมนไม่ตรงกัน และข้อผิดพลาดในการกำหนดค่าเป็นประเภทความล้มเหลวที่พบบ่อยที่สุดสำหรับเว็บไซต์ HTTPS หลังจากที่ใบรับรองหมดอายุ เบราว์เซอร์จะแสดงคำเตือน 'ไม่ปลอดภัย' ซึ่งทำให้ผู้เยี่ยมชมออกจากเว็บไซต์ อันดับการค้นหาของ Google ก็จะได้รับผลกระทบเช่นกัน การตรวจสอบเป็นประจำและการต่ออายุล่วงหน้าเป็นงานบำรุงรักษาพื้นฐานเพื่อให้แน่ใจว่า HTTPS ทำงานได้อย่างถูกต้อง

การตรวจสอบใบรับรองแตกต่างจาก SSL Labs อย่างไร

SSL Labs ทำการให้คะแนนเชิงลึก (รวมถึงการทดสอบที่ครอบคลุมโปรโตคอล ชุดรหัส ช่องโหว่ ใช้เวลาประมาณ 2 นาที) เครื่องมือนี้ทำการตรวจสอบพื้นฐานที่รวดเร็ว (ผลลัพธ์กลับมาใน 1-3 วินาที) ครอบคลุมข้อมูลหลักเช่น ความถูกต้องของใบรับรอง ระยะเวลาที่ใช้งานได้ เวอร์ชัน TLS ชุดเข้ารหัส รายการ SAN เหมาะสำหรับการตรวจสอบอย่างรวดเร็วก่อนเปิดตัว การยืนยันการต่ออายุ การแก้ไขปัญหา

เหตุใดเบราว์เซอร์จึงสามารถเข้าถึงโดยตรง แต่การตรวจสอบด้วยเครื่องมือนี้ล้มเหลว

สาเหตุที่เป็นไปได้: 1) เว็บไซต์บล็อกที่อยู่ IP ต่างประเทศ (เซิร์ฟเวอร์ตรวจสอบอยู่ต่างประเทศ); 2) เซิร์ฟเวอร์ทำการแยกแยะ SNI แต่การกำหนดค่าไม่สมบูรณ์; 3) กำลังใช้ใบรับรองลายเซ็นตนเองสำหรับอินทราเน็ตองค์กร; 4) ไฟร์วอลล์บล็อกโหนดตรวจสอบ การตรวจสอบที่ล้มเหลวไม่ได้หมายความว่าใบรับรองมีปัญหา ต้องประเมินตามข้อมูลข้อผิดพลาดเฉพาะเจาะจง

TLS 1.2 และ TLS 1.3 แตกต่างกันอย่างไร

TLS 1.3 (2018, RFC 8446) เป็นเวอร์ชันล่าสุด ความเร็วในการจับมือได้รับการปรับปรุงจาก 2-RTT ใน TLS 1.2 เป็น 1-RTT หรือแม้แต่ 0-RTT ลบอัลกอริทึมที่ไม่ปลอดภัยเช่น การแลกเปลี่ยนคีย์ RSA, RC4, SHA-1 และเปิดใช้งาน Forward Secrecy โดยค่าเริ่มต้น ความปลอดภัยและประสิทธิภาพได้รับการปรับปรุงอย่างมีนัยสำคัญ การปรับใช้ใหม่ควรสนับสนุน TLS 1.3 เป็นหลักและเก็บ TLS 1.2 ไว้เพื่อความเข้ากันได้กับไคลเอ็นต์เก่า

ควรต่ออายุใบรับรองกี่วันก่อนหมดอายุ

แนะนำให้เริ่มเตรียมการต่ออายุ 30 วันก่อนหมดอายุ และเสร็จสิ้นการปรับใช้อย่างน้อย 7 วันล่วงหน้า เครื่องมือนี้ใช้การเตือนสี: >30 วัน เขียว (ปกติ), 7-30 วัน เหลือง (ควรต่ออายุ), <7 วัน แดง (ฉุกเฉิน) ใบรับรอง Let's Encrypt มีอายุการใช้งาน 90 วัน แนะนำให้กำหนดค่าการต่ออายุอัตโนมัติ

Let's Encrypt

รายการ SAN คืออะไร เหตุใดจึงสำคัญ

SAN (Subject Alternative Name) คือรายการโดเมน/IP ในใบรับรองที่ได้รับอนุญาตให้ใช้ เบราว์เซอร์สมัยใหม่ (Chrome 58+) ไม่ไว้วางใจฟิลด์ Common Name(CN) อีกต่อไป จะตรวจสอบเฉพาะ SAN เท่านั้น หากโดเมนที่เข้าชมไม่มีอยู่ในรายการ SAN เบราว์เซอร์จะรายงานข้อผิดพลาด 'โดเมนไม่ตรงกัน' ใบรับรองหนึ่งสามารถครอบคลุมหลายโดเมนผ่าน SAN ได้ (เช่น example.com, www.example.com, api.example.com)

เหตุใดจึงต้องดูลายนิ้วมือใบรับรอง

ลายนิ้วมือใบรับรอง (SHA-1/SHA-256) เป็นค่าแฮชของเนื้อหาใบรับรอง สามารถใช้สำหรับ HPKP (เลิกใช้แล้ว), Certificate Pinning และการตรวจสอบด้วยตนเองว่าใบรับรองที่ปรับใช้ตรงกับที่คาดหวังหรือไม่ ตัวอย่างเช่น ยืนยันว่า CDN โหลดใบรับรองใหม่อย่างถูกต้องหรือไม่ หรือเปรียบเทียบใบรับรองระหว่างเซิร์ฟเวอร์หลายเครื่อง หมายเหตุ: ลายนิ้วมือ SHA-1 ใช้สำหรับการระบุเท่านั้น ไม่ควรใช้สำหรับการตรวจสอบความปลอดภัย

การตรวจสอบใบรับรอง SSL/TLS คืออะไร

การตรวจสอบใบรับรอง SSL/TLS เป็นกระบวนการเริ่มการจับมือ TLS จากไคลเอ็นต์ ดึงและวิเคราะห์ข้อมูลใบรับรองที่ส่งคืนโดยเซิร์ฟเวอร์เป้าหมาย เพื่อกำหนดว่าการกำหนดค่า HTTPS ถูกต้องหรือไม่ รายการตรวจสอบหลัก ได้แก่ ใบรับรองอยู่ในระยะเวลาที่ใช้งานได้หรือไม่ โดเมนที่เข้าชมอยู่ในรายการที่อนุญาตของใบรับรองหรือไม่ (การจับคู่ SAN) ห่วงโซ่ใบรับรองสมบูรณ์และน่าเชื่อถือหรือไม่ เวอร์ชันโปรโตคอล TLS และชุดเข้ารหัสที่ใช้ปลอดภัยหรือไม่ ฯลฯ

**เหตุใดการตรวจสอบใบรับรองจึงสำคัญอย่างยิ่ง** ใบรับรอง SSL เป็นพื้นฐานความไว้วางใจของ HTTPS เมื่อใบรับรองมีปัญหา (ที่พบบ่อยที่สุดคือหมดอายุ) เบราว์เซอร์จะบล็อกการเข้าถึงทันทีและแสดงหน้าคำเตือนสีแดง 'การเชื่อมต่อของคุณไม่เป็นส่วนตัว' ซึ่งก่อให้เกิดความเสียหายโดยตรงต่อการเข้าชมเว็บไซต์ อัตราการแปลง อันดับ SEO และความไว้วางใจในแบรนด์ ตามการเฝ้าติดตาม ใบรับรองหมดอายุเป็นสาเหตุที่พบบ่อยที่สุดของความล้มเหลว HTTPS คิดเป็นมากกว่า 40% ของเหตุการณ์ HTTPS ทั้งหมด

**แตกต่างจากการเข้าถึงโดยตรงในเบราว์เซอร์อย่างไร** การเข้าถึงด้วยเบราว์เซอร์อาจได้รับอิทธิพลจากแคช HSTS พร็อกซีองค์กร ใบรับรองไคลเอ็นต์ และปัจจัยอื่นๆ ที่ทำให้เกิดความคลาดเคลื่อน ในขณะที่เครื่องมือตรวจสอบใบรับรองจะเริ่มการจับมือ TLS มาตรฐานจากโหนดอิสระและส่งคืนข้อมูลใบรับรองที่วัตถุประสงค์และเป็นมาตรฐาน เหมาะสำหรับสถานการณ์การตรวจสอบการดำเนินงาน เครื่องมือนี้เริ่มการจับมือ TLS โดยตรงจากเซิร์ฟเวอร์แบ็กเอนด์ **ไม่มีข้อจำกัด CORS ของเบราว์เซอร์** และสามารถตรวจสอบโดเมน HTTPS ใดๆ ที่สามารถเข้าถึงได้แบบสาธารณะ

**ข้อมูลหลักที่เครื่องมือนี้ตรวจสอบ**: สถานะการอนุญาตใบรับรอง (ถูกต้องหรือไม่) ข้อมูลข้อผิดพลาด authorizationError เฉพาะเจาะจง เวอร์ชันโปรโตคอล TLS (TLS 1.2/1.3) ชุดเข้ารหัสที่เจรจา (Cipher) ผลลัพธ์การเจรจาโปรโตคอล ALPN (h2/http/1.1) ผู้ออกใบรับรอง (Subject/Issuer) วันที่มีผลบังคับใช้ (validFrom/validTo) จำนวนวันที่เหลือ (พร้อมการเตือนสี) รายการ SAN Subject Alternative Name ลายนิ้วมือ SHA-1/SHA-256 เวลาตอบสนอง และรายละเอียด JSON สมบูรณ์

ผลลัพธ์มักจะถูกส่งคืนภายใน 1-3 วินาที เหมาะสำหรับสถานการณ์เช่น การตรวจสอบอย่างรวดเร็วก่อนเปิดตัว การยืนยันการต่ออายุ การแก้ไขปัญหา ฯลฯ หากต้องการการให้คะแนนเชิงลึก (เช่น การจัดอันดับ A+-F ของ SSL Labs รวมถึงการเจรจาใหม่ การทดสอบช่องโหว่ ระดับการสนับสนุนโปรโตคอล ฯลฯ) แนะนำให้ใช้ร่วมกับ SSL Labs Server Test

术语表

SSL/TLS: SSL (Secure Sockets Layer) เป็นโปรโตคอลการเข้ารหัสที่พัฒนาโดย Netscape ในช่วงปี 1990 ต่อมาได้รับการมาตรฐานโดย IETF และเปลี่ยนชื่อเป็น TLS (Transport Layer Security) SSL 3.0 และเวอร์ชันก่อนหน้าทั้งหมดเลิกใช้แล้ว ในปัจจุบันที่ใช้งานจริงคือ TLS 1.2 และ TLS 1.3 แต่ตามความเคยชินยังคงเรียกว่า 'ใบรับรอง SSL'
HTTPS: HTTP over TLS เพิ่มชั้นการเข้ารหัส TLS ระหว่าง HTTP และ TCP ให้การเข้ารหัสข้อมูล การรับรองความถูกต้องของเซิร์ฟเวอร์ และการปกป้องความสมบูรณ์ของเนื้อหา การค้นหาของ Google ให้น้ำหนักแก่ไซต์ HTTPS Chrome ทำเครื่องหมายไซต์ที่ไม่ใช่ HTTPS ว่า 'ไม่ปลอดภัย'
SAN (Subject Alternative Name): ฟิลด์ส่วนขยายใบรับรอง X.509 แสดงรายการโดเมนและที่อยู่ IP ทั้งหมดที่ได้รับอนุญาตให้ใช้กับใบรับรองนี้ เบราว์เซอร์สมัยใหม่ (Chrome 58+) จะตรวจสอบเฉพาะ SAN และไม่ดู Common Name(CN) อีกต่อไป ใบรับรอง SAN หนึ่งสามารถปกป้องหลายโดเมนพร้อมกันได้
ห่วงโซ่ใบรับรอง (Certificate Chain): ห่วงโซ่ความไว้วางใจจากใบรับรองใบ (ใบรับรองเซิร์ฟเวอร์) ไปยังใบรับรอง CA ระหว่างกลาง จากนั้นไปยังใบรับรอง CA ราก เซิร์ฟเวอร์ต้องส่งใบรับรองใบ + ใบรับรองระหว่างกลาง เบราว์เซอร์ตรวจสอบความสมบูรณ์ของห่วงโซ่ผ่านใบรับรองรากที่ติดตั้งไว้ล่วงหน้า ใบรับรองระหว่างกลางที่ขาดหายไปเป็นข้อผิดพลาดในการกำหนดค่าที่พบบ่อย
ALPN (Application-Layer Protocol Negotiation): ส่วนขยาย TLS อนุญาตให้เจรจาโปรโตคอลชั้นแอปพลิเคชันในระหว่างขั้นตอนการจับมือ TLS (เช่น h2 สำหรับ HTTP/2, http/1.1 สำหรับ HTTP/1.1, h3 สำหรับ HTTP/3) หลังจากการจับมือเสร็จสมบูรณ์ โปรโตคอลที่เจรจาแล้วจะถูกใช้โดยตรงโดยไม่ต้องมีการส่งไปมาเพิ่มเติม
Cipher Suite (ชุดเข้ารหัส): ชุดอัลกอริทึมการเข้ารหัสที่เจรจาในระหว่างการจับมือ TLS ประกอบด้วยอัลกอริทึมการแลกเปลี่ยนคีย์ อัลกอริทึมการรับรองความถูกต้อง อัลกอริทึมการเข้ารหัสสมมาตร และอัลกอริทึมแฮช เช่น TLS_AES_256_GCM_SHA384 การกำหนดค่าที่ปลอดภัยควรใช้ชุด AEAD เป็นหลัก (เช่น GCM, ChaCha20-Poly1305)
Let's Encrypt: หน่วยงานออกใบรับรอง (CA) ที่ฟรี อัตโนมัติ และเปิดเผย ซึ่งดำเนินการโดย ISRG เปิดตัวอย่างเป็นทางการในปี 2016 ได้ออกใบรับรองมากกว่า 3 พันล้านใบ ลดเกณฑ์การปรับใช้ HTTPS อย่างมีนัยสำคัญ ใบรับรองมีอายุการใช้งาน 90 วัน ต่ออายุอัตโนมัติผ่านโปรโตคอล ACMEเว็บไซต์ Let's Encrypt
ลายนิ้วมือใบรับรอง (Fingerprint): ค่าแฮชที่คำนวณจากเนื้อหาที่เข้ารหัส DER ของใบรับรอง โดยทั่วไปคือ SHA-1 และ SHA-256 ลายนิ้วมือใช้เพื่อระบุใบรับรองอย่างไม่ซ้ำกัน สำหรับ Certificate Pinning และการตรวจสอบความสอดคล้องระหว่างโหนดหลายแห่ง SHA-1 ไม่แนะนำสำหรับวัตถุประสงค์ด้านความปลอดภัยเนื่องจากความเสี่ยงจากการชนกัน แต่ยังคงใช้กันอย่างแพร่หลายสำหรับการระบุ
SNI (Server Name Indication): ส่วนขยาย TLS ซึ่งไคลเอ็นต์จะส่งโดเมนที่จะเข้าชมในขั้นตอนการจับมือแล้ว ทำให้เซิร์ฟเวอร์ที่อยู่ IP เดียวกันสามารถปรับใช้ใบรับรองหลายใบสำหรับโดเมนต่างๆ ได้ (คล้ายกับส่วนหัว Host ของ HTTP) SNI เป็นพื้นฐานของ HTTPS โฮสต์เสมือนสมัยใหม่ เซิร์ฟเวอร์ที่ไม่มีการกำหนดค่า SNI จะส่งคืนใบรับรองเริ่มต้น ซึ่งอาจทำให้เกิดข้อผิดพลาดโดเมนไม่ตรงกัน
Forward Secrecy (PFS): คุณสมบัติความปลอดภัย: แม้ว่าคีย์ส่วนตัวของเซิร์ฟเวอร์จะรั่วไหลในอนาคต การรับส่งข้อมูลเซสชันที่เข้ารหัสที่บันทึกไว้ก่อนหน้านี้จะไม่สามารถถอดรหัสได้ สิ่งนี้ทำได้ผ่านอัลกอริทึมการแลกเปลี่ยนคีย์ชั่วคราวเช่น ECDHE เป็นข้อกำหนดบังคับใน TLS 1.3 และเป็นมาตรฐานที่แนะนำสำหรับการกำหนดค่าความปลอดภัยสมัยใหม่

ประวัติและสถานะเวอร์ชันโปรโตคอล TLS

เวอร์ชันโปรโตคอล	ปีที่เผยแพร่	สถานะปัจจุบัน	หมายเหตุ
`SSL 1.0-3.0`	1995-1996	❌ เลิกใช้/ไม่ปลอดภัย	มีช่องโหว่ร้ายแรงเช่น POODLE เบราว์เซอร์สมัยใหม่ทั้งหมดปิดใช้งานแล้ว
`TLS 1.0`	1999	❌ เลิกใช้	ช่องโหว่เช่น BEAST, CRIME ห้ามใช้ตั้งแต่ PCI DSS 2018
`TLS 1.1`	2006	❌ เลิกใช้	เลิกใช้อย่างเป็นทางการใน RFC 8996 Chrome/Firefox ลบการสนับสนุนตั้งแต่ 2020
`TLS 1.2`	2008	⚠️ รองรับอย่างกว้างขวาง (ช่วงเปลี่ยนผ่าน)	มีการปรับใช้มากที่สุดในปัจจุบัน ความเข้ากันได้ดีที่สุด แต่มีความเสี่ยงจากชุดเข้ารหัสอ่อนแอบางตัว
`TLS 1.3`	2018 (RFC 8446)	✅ แนะนำ	จับมือเร็วขึ้น (1-RTT/0-RTT) ลบอัลกอริทึมอ่อนแอ เป็นตัวเลือกแรกของเบราว์เซอร์สมัยใหม่

การเตือนสีเมื่อใบรับรองใกล้หมดอายุและคำแนะนำการดำเนินการ

จำนวนวันที่เหลือ	สีสถานะ	การดำเนินการที่แนะนำ
>30 วัน	🟢 เขียว (ปกติ)	ไม่ต้องดำเนินการ เพียงตรวจสอบเป็นประจำ
7-30 วัน	🟡 เหลือง (เตือน)	เริ่มกระบวนการต่ออายุโดยเร็วที่สุด ตรวจสอบให้แน่ใจว่าการเปลี่ยนเสร็จสมบูรณ์ก่อนหมดอายุ
<7 วัน	🔴 แดง (ฉุกเฉิน)	ต่ออายุทันที หลังจากหมดอายุเบราว์เซอร์จะบล็อกการเข้าถึง
0 วัน/หมดอายุแล้ว	🔴 แดง (หมดอายุ)	ใบรับรองไม่ถูกต้อง ผู้ใช้จะเห็นคำเตือนความปลอดภัย ต้องดำเนินการทันที

การแก้ไขปัญหาประเภทข้อผิดพลาด SSL ทั่วไป

ประเภทข้อผิดพลาด	สาเหตุทั่วไป	แนวทางการแก้ไข
ใบรับรองหมดอายุ (expired)	ใบรับรองไม่ได้รับการต่ออายุหลังจากวันที่ validTo	ต่ออายุทันเวลาและปรับใช้ใบรับรองใหม่
โดเมนไม่ตรงกัน (name mismatch)	โดเมนปัจจุบันไม่มีอยู่ในรายการ SAN ของใบรับรอง	ออกใบรับรองใหม่ที่มีโดเมนเป้าหมาย หรือตรวจสอบการกำหนดค่าต้นทาง CDN
ห่วงโซ่ใบรับรองไม่สมบูรณ์ (incomplete chain)	เซิร์ฟเวอร์ไม่ได้กำหนดค่าใบรับรองระหว่างกลางอย่างถูกต้อง	รวมใบรับรองระหว่างกลางกับใบรับรองใบเพื่อปรับใช้
ใบรับรองลายเซ็นตนเอง (self-signed)	ใบรับรองถูกเซ็นชื่อโดย CA ส่วนตัว ไม่ได้รับความไว้วางใจสาธารณะ	ใช้ใบรับรองที่ออกโดย CA สาธารณะเช่น Let's Encrypt
ผู้ออกใบรับรองไม่น่าเชื่อถือ (untrusted issuer)	ใบรับรองราก CA ไม่มีอยู่ในที่เก็บความไว้วางใจของเบราว์เซอร์	เปลี่ยนเป็นใบรับรองที่ออกโดย CA ที่น่าเชื่อถือ