Перевірка SSL-сертифіката

TLS-сертифікат сайту підтверджує його ідентичність і шифрує трафік між браузером і сервером. Прострочений, самопідписаний або невідповідний сертифікат руйнує довіру та викликає попередження браузера, що відлякують відвідувачів. IPeek підключається безпосередньо до хоста, читає живий сертифікат і повідомляє його видавця, період дії, кількість днів до закінчення, імена, які він охоплює, та всі виявлені проблеми.

Під час рукостискання TLS сервер пред’являє сертифікат, підписаний довіреним центром сертифікації (CA). Браузер перевіряє, що ім’я в сертифікаті збігається з ім’ям хоста, що ланцюжок підписів веде до кореня, якому він довіряє, і що поточна дата входить у період дії. Якщо всі три умови виконано, з’єднання шифрується й з’являється замок. «SSL» — це звична назва, яку досі вживають, але насправді протоколом уже багато років є TLS. IPeek виконує те саме рукостискання, а потім повідомляє, що повернув сервер, замість того щоб просто показати замок.

Почніть із днів до закінчення: будь-що менше за 30 означає, що варто незабаром поновити, а від’ємне значення означає, що сертифікат уже прострочений і відвідувачі вже бачать попередження. Перевірте видавця, щоб підтвердити, що це справжній CA, а не самопідписаний заповнювач. Список Subject Alternative Name (SAN) показує кожне ім’я хоста, яке охоплює сертифікат, тож сертифікат для example.com, що не містить www.example.com, не пройде на цьому варіанті. Нарешті, переконайтеся, що ланцюжок повний; відсутній проміжний сертифікат валідується в одних клієнтах, але ламається в інших.

Найчастіший збій — просте закінчення терміну, що виправляється поновленням і перезавантаженням вебсервера. Невідповідність імені означає, що ім’я хоста відсутнє у списку SAN, тож перевипустіть із правильними іменами або додайте wildcard. Помилки «самопідписаний» чи «недовірений видавець» означають, що ланцюжок сертифіката не доходить до довіреного кореня, зазвичай тому, що проміжний сертифікат не встановлено разом із кінцевим. Після будь-якого виправлення перевірте знову через IPeek, щоб підтвердити, що живий сертифікат, який віддається на з’єднанні, відповідає задуманому, адже застарілі сертифікати часто затримуються в балансувальниках і CDN.

Виконуйте перевірку перед запуском і щоразу, коли мігруєте хостинг, змінюєте CDN чи ротуєте сертифікати, адже саме в ці моменти з’являються невідповідності та незавершені ланцюжки. Поставте нагадування заздалегідь до дати закінчення, особливо для сертифікатів без автоматичного поновлення. Це також найшвидший спосіб діагностувати відвідувача, який повідомляє про попередження безпеки в браузері: перевірка одразу скаже, чи проблема в закінченні терміну, невідповідності імені або зламаному ланцюжку, тож ви зможете діяти, а не вгадувати.