Проверка SSL-сертификата и TLS
Проверка SSL/TLS
Проверяет срок действия и цепочку вашего сертификата, включённые версии TLS и то, принимаются ли слабые наборы шифров, а устаревшие или слабые настройки выводит списком с шагами по исправлению.
Что делает эта проверка?
Проверка SSL/TLS тестирует HTTPS-соединение сайта так, как его видит браузер: действителен ли сертификат и когда истекает, полна ли цепочка, совпадает ли имя, принимаются ли ещё устаревшие TLS 1.0/1.1 и слабые шифры. Используются только TLS-рукопожатия и один запрос заголовков.
Источники и метод
Считывает сертификат и протоколы через TLS-рукопожатия; для проверки перенаправления HTTP→HTTPS отправляет на главную страницу один запрос заголовков. Не заполняет формы и не создаёт нагрузки.
Что проверяется и как исправить
Каждый пункт проверки, почему он важен и что делать, если его нет. На экране результата показываются только пробелы вашего сайта.
Срок действия сертификата
Просроченный сертификат скрывает сайт за предупреждением браузера для всех посетителей. Это самый частый и самый легко предотвратимый сбой.
Как исправить
Настройте автоматическое продление и мониторинг, который предупредит вас за 21 день до истечения срока.
$ sudo certbot renew --dry-runЦепочка сертификатов
Если промежуточный сертификат отсутствует, настольные браузеры чаще всего достраивают цепочку сами, но мобильные приложения, API-клиенты и некоторые версии Android отклоняют соединение.
Как исправить
Отдавайте с сервера полную цепочку, включая промежуточный сертификат, а не только сертификат сайта.
ssl_certificate /etc/ssl/fullchain.pem;
ssl_certificate_key /etc/ssl/privkey.pem;Соответствие имени
Если имена в сертификате не совпадают с вашим доменом, браузер считает соединение небезопасным.
Как исправить
Включите в сертификат и основной домен, и www.
Устаревшие протоколы (TLS 1.0 / 1.1)
У TLS 1.0 и 1.1 есть известные слабости, и с 2020 года они отключены во всех крупных браузерах. Оставляя их включёнными, вы лишь открываете дорогу старым небезопасным клиентам.
Как исправить
Оставьте включёнными только TLS 1.2 и 1.3.
ssl_protocols TLSv1.2 TLSv1.3;Поддержка TLS 1.3
Более быстрое рукопожатие и только стойкие наборы шифров. Обычно для включения достаточно одной строки.
Как исправить
При OpenSSL 1.1.1 и новее добавьте TLSv1.3 в строку ssl_protocols.
Слабые наборы шифров
3DES и обмен ключами RSA без прямой секретности позволяют ослабить трафик или расшифровать его в будущем.
Как исправить
Разрешите только наборы шифров AEAD на основе ECDHE.
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;Перенаправление с HTTP на HTTPS
Если HTTP-версия отдаёт контент, пользователь может войти в систему на незашифрованной странице, а соединение может быть подменено.
Как исправить
Перенаправляйте все запросы на порт 80 на HTTPS с кодом 301.
server {
listen 80;
return 301 https://$host$request_uri;
}OCSP stapling
Браузеру не нужно отдельно запрашивать статус отзыва сертификата: соединение устанавливается быстрее, а данные о посетителях не уходят удостоверяющему центру.
Как исправить
Включите stapling на сервере.
ssl_stapling on;
ssl_stapling_verify on;Запись CAA
Ограничивает в DNS круг удостоверяющих центров, которые могут выпускать сертификаты для вашего домена, и затрудняет несанкционированный выпуск.
Как исправить
Добавьте используемый удостоверяющий центр в DNS в виде записи CAA.
alanadiniz.com. IN CAA 0 issue "letsencrypt.org"Быстрые проверки
Один вопрос — один ответ: верна ли запись SPF, упал ли сайт, когда истекает сертификат? Дневной лимит проверок не тратится, регистрация не нужна.
Проверка срока SSL
Проверка срока действия SSL-сертификата
Проверка доступности сайта
Сайт не работает? Проверка доступности сайта
Частые вопросы
Как узнать, когда истекает SSL-сертификат?
Нужно ли отключать TLS 1.0 и 1.1?
Это бесплатно? Нужен ли аккаунт?
Безопасно ли запускать проверку на своём сайте?
Первоисточники
Другие тесты
Безопасность почты
По записям SPF, DKIM и DMARC показывает, можно ли отправить поддельное письмо от вашего имени.
Проверка заголовков безопасности
Оценивает настройки безопасности, которые сайт передаёт браузеру (HSTS, CSP, cookie), и показывает, чего не хватает.
Безопасность DNS и домена
Проверяет срок регистрации домена, блокировку переноса и защиту DNS-записей (DNSSEC, CAA).
Cookie и согласие
Показывает, загружаются ли трекеры вроде Google Analytics и Яндекс Метрики до согласия посетителя.
Уязвимости JS-библиотек
Находит на сайте jQuery, Bootstrap и другие библиотеки, отмечает версии с известными уязвимостями и называет безопасную.
Поиск поддоменов
Находит поддомены и отмечает забытые записи, которые может захватить посторонний.
Разведка поверхности атаки
Собирает то, что атакующий узнает о вас из открытых источников: поддомены, используемое ПО, DNS.
Другие бесплатные сканеры
WP Lens: проверка WordPress
Сопоставляет версии ядра, плагинов и тем WordPress с известными уязвимостями.
Сканирование портов
Находит открытые наружу порты и версии сервисов на сервере и сопоставляет их с известными уязвимостями. Запускается с вашим подтверждением.
Проверка зависимостей (SBOM)
Сопоставляет зависимости из package-lock, yarn.lock или файла SBOM с известными уязвимостями.
CVE по баннеру
Вставьте строку с версией сервиса и посмотрите известные уязвимости этой версии. Без сканирования.