Verifica certificato SSL

Il certificato TLS di un sito ne dimostra l'identità e cifra il traffico tra il browser e il server. Un certificato scaduto, autofirmato o con nome non corrispondente compromette la fiducia e fa scattare avvisi del browser che allontanano i visitatori. IPeek si connette direttamente all'host, legge il certificato live e ne riporta l'emittente, la finestra di validità, i giorni rimanenti, i nomi che copre e gli eventuali problemi rilevati.

Durante l'handshake TLS il server presenta un certificato firmato da una Certificate Authority attendibile. Il browser verifica che il nome del certificato corrisponda all'hostname, che la catena di firma porti a una radice che ritiene attendibile e che la data corrente rientri nella finestra di validità. Se tutti e tre i controlli passano, la connessione è cifrata e compare il lucchetto. "SSL" è il nome comune che molti usano ancora, ma il protocollo effettivo è TLS da anni. IPeek esegue lo stesso handshake e poi riporta ciò che il server ha restituito, invece di limitarsi a mostrare un lucchetto.

Parti dai giorni rimanenti: qualsiasi valore sotto 30 significa rinnovare presto, e un valore negativo significa che il certificato è già scaduto e i visitatori vedono già gli avvisi. Controlla l'emittente per confermare che sia una CA reale e non un segnaposto autofirmato. L'elenco Subject Alternative Name (SAN) mostra ogni hostname coperto dal certificato, quindi un certificato per example.com che omette www.example.com fallirà su quella variante. Infine, verifica che la catena sia completa; un certificato intermedio mancante è valido in alcuni client ma si rompe in altri.

Il guasto più frequente è la semplice scadenza, risolta rinnovando e ricaricando il web server. Una mancata corrispondenza del nome significa che l'hostname non è nell'elenco SAN, quindi riemetti con i nomi corretti o aggiungi un wildcard. Gli errori "autofirmato" o "emittente non attendibile" significano che la catena del certificato non raggiunge una radice attendibile, di solito perché il certificato intermedio non è stato installato insieme a quello finale. Dopo qualsiasi correzione, ricontrolla con IPeek per confermare che il certificato live servito sulla rete corrisponda a ciò che intendevi, dato che i certificati obsoleti spesso restano nei load balancer e nelle CDN.

Esegui un controllo prima del lancio e ogni volta che migri l'hosting, cambi CDN o ruoti i certificati, perché sono i momenti in cui compaiono mancate corrispondenze e catene incomplete. Imposta un promemoria prima della data di scadenza, soprattutto per i certificati non in rinnovo automatico. È anche il modo più rapido per diagnosticare un visitatore che segnala un avviso di sicurezza del browser: il controllo ti dice immediatamente se il problema è la scadenza, una mancata corrispondenza del nome o una catena interrotta, così puoi agire invece di tirare a indovinare.