Проверка сертификата SSL

TLS-сертификат сайта подтверждает его подлинность и шифрует трафик между браузером и сервером. Просроченный, самоподписанный или несоответствующий сертификат подрывает доверие и вызывает предупреждения браузера, отпугивающие посетителей. IPeek подключается напрямую к хосту, считывает живой сертификат и сообщает его издателя, срок действия, число оставшихся дней, охватываемые имена и любые найденные проблемы.

Во время TLS-рукопожатия сервер предъявляет сертификат, подписанный доверенным удостоверяющим центром (CA). Браузер проверяет, что имя в сертификате совпадает с именем хоста, что цепочка подписи ведёт к доверенному корню и что текущая дата попадает в срок действия. Если все три условия выполнены, соединение шифруется и появляется значок замка. «SSL» — привычное название, которое до сих пор используют, но фактический протокол уже много лет — TLS. IPeek выполняет то же рукопожатие, а затем сообщает, что вернул сервер, вместо того чтобы просто рисовать замок.

Начните с числа оставшихся дней: значение менее 30 означает, что пора скоро обновлять, а отрицательное — что сертификат уже просрочен и посетители сейчас видят предупреждения. Проверьте издателя, чтобы убедиться, что это настоящий CA, а не самоподписанная заглушка. Список Subject Alternative Name (SAN) показывает каждое имя хоста, которое покрывает сертификат, так что сертификат для example.com, не включающий www.example.com, провалится на этом варианте. Наконец, убедитесь, что цепочка полна; отсутствующий промежуточный сертификат проходит проверку в одних клиентах, но ломается в других.

Самый частый сбой — простое истечение срока, устраняемое обновлением и перезагрузкой веб-сервера. Несоответствие имени означает, что имя хоста отсутствует в списке SAN, так что перевыпустите сертификат с правильными именами или добавьте wildcard. Ошибки «самоподписанный» или «недоверенный издатель» означают, что цепочка сертификата не доходит до доверенного корня, обычно потому что промежуточный сертификат не был установлен вместе с конечным. После любого исправления перепроверьте через IPeek, что выдаваемый по сети живой сертификат совпадает с задуманным, ведь устаревшие сертификаты часто задерживаются в балансировщиках и CDN.

Запускайте проверку перед запуском и всякий раз при миграции хостинга, смене CDN или ротации сертификатов, ведь именно тогда появляются несоответствия и отсутствующие цепочки. Поставьте напоминание заранее до даты истечения, особенно для сертификатов без автоматического обновления. Это также самый быстрый способ диагностировать жалобу посетителя на предупреждение безопасности браузера: проверка сразу скажет, в чём проблема — в истечении срока, несоответствии имени или сломанной цепочке, — чтобы вы действовали, а не гадали.