Проверка на SSL сертификат
Проверете незабавно SSL сертификата на всеки домейн и вижте датата на изтичане, издателя, статуса на доверие и пълната верига. Безплатно и без регистрация.
Как да четете резултатите от SSL сертификата
Всяко поле в резултата показва различен аспект от сертификата. Ето какво означава всяка информация и на какво да обърнете внимание.
Издател (име на CA)
Това е организацията, която е подписала и издала сертификата. Тя трябва да е добре познат CA като Let's Encrypt, DigiCert, Sectigo или GlobalSign. Ако издателят и субектът споделят един и същи CN и O, сертификатът е самоподписан и браузърите ще покажат предупреждение.
Subject Alternative Names
Това е списъкът с домейни и поддомейни, за които сертификатът е валиден. За продукция потвърдете, че присъстват основният домейн и www вариантът. Wildcard запис (*.example.com) покрива всички поддомейни от първо ниво, но не и основния домейн или поддомейни от второ ниво.
Дата на изтичане и обратно броене
Това е датата, след която сертификатът вече не е валиден. Индикаторът се променя от зелен (>30 дни) през жълт (8–30 дни) до червен (<7 дни). Сертификатите Let's Encrypt изтичат на всеки 90 дни, а търговските сертификати обикновено са валидни 1 година.
Версия на TLS протокола
Това е версията на TLS, договорена от сървъра за тази връзка. TLS 1.3 е текущият стандарт — по-бърз и по-сигурен. TLS 1.2 е приемлив. TLS 1.0 и 1.1 са остарели и трябва да бъдат изключени, а SSLv3 и SSLv2 са критично уязвими.
Сериен номер
Това е уникален идентификатор, присвоен от CA на конкретния сертификат. Полезен е за управление на сертификати, OCSP stapling справки и проследяване на инциденти, когато съществуват няколко сертификата за един и същ домейн.
SHA-256 отпечатък
Това е криптографски хеш на цялото съдържание на сертификата. Два еднакви отпечатъка означават два еднакви сертификата. Сравнявайте отпечатъците преди и след подмяна на сертификата, за да потвърдите, че обновяването е приложено — или за да откриете неочаквана подмяна.
План за действие при изтичане на сертификата
Изтичането е най-честата причина за прекъсване на SSL. Използвайте тази таблица, за да знаете какво да направите според оставащите дни.
| Дни до изтичане | Статус | Препоръчително действие |
|---|---|---|
| > 30 дни | OK | Не е нужно действие. Планирайте напомняне за подновяване, когато останат 30 дни. |
| 8–30 дни | Предупреждение | Започнете подновяването сега. Повечето CAs и услуги за автоматично подновяване (Let's Encrypt, Certbot) подновяват при 30 оставащи дни. |
| 1–7 дни | Спешно | Подновете веднага. Изтекъл сертификат причинява браузърни грешки и блокира целия HTTPS трафик. |
| 0 или по-малко | Изтекъл | Сертификатът е изтекъл. Заменете го веднага — сайтът ви показва предупреждения за сигурност на всички посетители. |
Чести SSL грешки в Chrome, Firefox и Safari — причини и решения
Това са най-честите SSL грешки в браузърите и значението на всяка от тях. Открийте първопричината с този инструмент, след което приложете правилното решение.
Полето valid_to на сертификата е в миналото. Сертификатът е изтекъл и трябва да бъде подновен, преди браузърите отново да приемат връзката като надеждна.
Подновете сертификата чрез вашия CA или хостинг доставчик. Проверете дали автоматичното подновяване е настроено правилно — повечето CAs подновяват автоматично в рамките на последните 30 дни преди изтичане.
Домейнът в адресната лента на браузъра не фигурира в полетата CN или SAN на сертификата. Това се случва след миграция на домейн, при несъответствие на поддомейн или когато сертификатът е издаден за грешен домейн.
Преиздайте сертификата с правилния домейн. Проверете дали основният домейн (example.com) и поддомейнът www (www.example.com) присъстват в SAN списъка.
Сертификатът е издаден от CA, който не присъства в довереното хранилище на браузъра или операционната система. Това включва самоподписани сертификати, вътрешно издадени сертификати или сертификати, при които междинният CA липсва във веригата.
Инсталирайте сертификат от публично доверен CA. Ако използвате вътрешен CA, инсталирайте root сертификата в trust store на клиента. Уверете се и че сървърът изпраща пълната междинна верига.
Сертификатът е бил изрично отнет от издаващия CA — обикновено защото частният ключ е компрометиран, домейнът е сменил собствеността си или сертификатът е издаден по погрешка.
Издайте нов сертификат незабавно. Ако не сте го оттеглили вие, възможно е частният ключ да е компрометиран — подменете ключа, преиздайте сертификата и разследвайте проблема.
Сървърът връща HTTP отговор на HTTPS порт или прокси подава HTTP грешка, преди TLS handshake да завърши. Порт 443 получава чист текст вместо TLS.
Потвърдете, че сървърът е конфигуриран да обслужва TLS на порта, към който се свързвате. Проверете настройките на load balancer-а и проксито и се уверете, че SSL termination е настроен правилно.
Клиентът и сървърът не могат да се договорят за версия на TLS протокола или за набор от шифри. Това често се случва, когато сървърът поддържа само TLS 1.0/1.1 (отхвърлени в Chrome 84+, Firefox 74+, Safari 14+) или използва шифри, премахнати от съвременните браузъри.
Активирайте TLS 1.2 и TLS 1.3 на сървъра и изключете TLS 1.0 и TLS 1.1. Обновете списъка с шифри, за да премахнете RC4, 3DES и export-grade шифри. Използвайте генератора на Mozilla за TLS конфигурации за готови настройки за Nginx и Apache.
Как да проверите SSL сертификат в 3 стъпки
Въведете домейн
Въведете произволно име на домейн — например github.com или api.example.com — в полето. Инструментът премахва всеки префикс https:// автоматично. Можете да зададете и персонализиран порт, ако HTTPS услугата не работи на стандартния порт 443.
Прегледайте сертификата
Само за секунди ще видите пълния сертификат: дата на изтичане и обратно броене, верига на издателя, статус на доверие, версия на протокола (TLS 1.2 или 1.3), набор от шифри, SANs и SHA-256 отпечатък. Не се съхраняват никакви данни.
Прочетете резултатите
Ако сертификатът е изтекъл, самоподписан или има несъответствие в името на хоста, резултатът маркира проблема ясно. Индикаторът за изтичане става жълт при по-малко от 30 дни и червен при по-малко от 7 дни. Можете да копирате всички детайли с едно щракване.
Какво показва SSL сертификатът?
SSL/TLS сертификатът е цифрово удостоверение, което потвърждава самоличността на уебсайта и позволява криптирана връзка. Когато отворите сайт през HTTPS, браузърът проверява сертификата му — издаден от доверен сертифициращ орган (CA) — преди да установи защитения канал. Без валиден сертификат браузърите показват предупреждения за сигурност и могат да блокират достъпа, което пряко влияе върху доверието на потребителите и класирането в търсачките.
Всеки SSL сертификат съдържа 3 ключови елемента:
- •Субект — домейнът (и организацията при OV/EV), за който е издаден сертификатът
- •Издател — сертифициращият орган (CA), който е подписал и потвърдил сертификата
- •Период на валидност — точните начална и крайна дата, в които сертификатът е доверен
Какво НЕ проверява този инструмент
Инструментът извършва TLS handshake в реално време и прочита сертификата. Той не:
- Оценява силата на набора от шифри (A–F) — използвайте SSL Labs за пълен TLS одит
- Проверява HSTS заглавката или статуса в preload списъка
- Тества конфигурацията на OCSP stapling
- Открива certificate pinning (HPKP)
- Проверява поведението на пренасочване от HTTP към HTTPS
Типове SSL сертификати
Различните типове сертификати предлагат различни нива на проверка на самоличността. Типът показва какво е проверил издателят преди подписване, а не силата на криптирането.
CA проверява само, че заявителят контролира домейна — фирмена идентичност не се проверява. Издава се за минути чрез автоматизирано DNS или HTTP предизвикателство. Подходящ е за блогове, лични сайтове и вътрешни инструменти. В субекта обикновено се вижда само CN (името на домейна), без поле O (организация).
CA проверява контрола върху домейна и юридическото съществуване на организацията. Обикновено отнема 1–3 работни дни. Сертификатът показва името на компанията в полето O, така че посетителите могат да видят кой стои зад сайта. Подходящ е за бизнес сайтове и API.
Това е най-строгото ниво на проверка — CA потвърждава домейна, организацията, физическия адрес, правния статус и реалното оперативно съществуване. В миналото тези сертификати активираха зелената адресна лента в браузърите. Днес името на компанията се вижда в детайлите на сертификата. Често се изискват от финансови институции и платформи за електронна търговия, които обработват платежни данни.
Покрива основен домейн и всички поддомейни от първо ниво чрез шаблон *.example.com в CN или SAN. Един wildcard сертификат защитава www.example.com, api.example.com, cdn.example.com и други. Не покрива поддомейни от второ ниво като dev.api.example.com — за тях е нужен отделен сертификат.
Един сертификат може да покрива няколко отделни домейна чрез разширението Subject Alternative Names. Това е често срещано, когато няколко продукта се хостват под един сертификат — например example.com, example.io и app.example.net. Повечето съвременни сертификати използват SANs дори и за единичен домейн, като CN се дублира в SAN списъка.
Кога да проверявате SSL сертификат
Преди внедряване
Проверете дали сертификатът покрива точно домейна, който ще бъде пуснат. Уверете се, че издателят е доверен CA, а не самоподписан, че SANs включват основния домейн и варианта с www, и че се използва TLS 1.2 или по-нова версия, преди да насочите DNS към продукция.
Наблюдение на подновяването на сертификата
Следете датите на изтичане предварително. Сертификатите Let's Encrypt изтичат на всеки 90 дни и пропуснатото автоматично подновяване може да доведе до прекъсване. Търговските сертификати обикновено са валидни 1 година. Запазете този инструмент и проверявайте всеки месец всичко, за което остават под 30 дни.
Одит на сигурността
Открийте сървъри, които все още използват TLS 1.0 или 1.1, слаби набори от шифри или самоподписани сертификати. Сравнете SHA-256 отпечатъка с очакваната стойност след подмяна на сертификата, за да потвърдите, че не е настъпила MITM подмяна.
След миграция на домейн
След преместване на домейн към нов хост или CDN проверете дали новият сертификат покрива домейна, дали издателят е правилният и дали SANs съвпадат с очаквания набор. Ако сертификатът е останал на стария сървър и не е настроен на новия, ще се появят браузърни грешки, дори DNS да сочи правилно.
Често задавани въпроси
Свързани инструменти
Проверка на портове
Проверете дали порт 443 е отворен и приема връзки, преди да проверите сертификата.
DNS търсене
Проверете дали DNS A записите сочат към правилния сървър след внедряване на сертификат или миграция на домейн.
Инфо за порта
Потърсете стандартните портови назначения и вижте кои услуги работят на кои портове.