SSL-sertifikaatin tarkistin
Tarkista minkä tahansa verkkotunnuksen SSL-sertifikaatti heti: näet vanhenemispäivän, myöntäjän, luottamustilan ja koko ketjun. Maksutta, ilman kirjautumista.
Näin luet SSL-varmenteen tulokset
Jokainen tuloksen kenttä kertoo varmenteesta eri asian. Tässä on, mitä tiedot tarkoittavat ja mihin kannattaa kiinnittää huomiota.
Myöntäjä (CA:n nimi)
Tämä on organisaatio, joka on allekirjoittanut ja myöntänyt varmenteen. Sen pitäisi olla tunnettu CA, kuten Let's Encrypt, DigiCert, Sectigo tai GlobalSign. Jos myöntäjällä ja subjectilla on sama CN ja O, varmenne on itseallekirjoitettu ja selain näyttää varoituksen.
Vaihtoehtoiset nimet (SAN)
Tämä on lista verkkotunnuksista ja aliverkkotunnuksista, joille varmenne on voimassa. Tuotannossa sekä juuriverkkotunnuksen että www-version pitäisi löytyä listalta. Wildcard-merkintä (*.example.com) kattaa kaikki ensimmäisen tason aliverkkotunnukset, mutta ei juuriverkkotunnusta eikä toisen tason aliverkkotunnuksia.
Vanhenemispäivä ja lähtölaskenta
Tämä on päivämäärä, jonka jälkeen varmenne ei ole enää voimassa. Lähtölaskentapalkki on vihreä, kun aikaa on yli 30 päivää, keltainen välillä 8–30 päivää ja punainen alle 7 päivän kohdalla. Let's Encrypt -varmenteet vanhenevat 90 päivän välein, kaupalliset varmenteet yleensä vuoden kuluttua.
TLS-versio
Tämä kertoo TLS-version, jonka palvelimesi neuvotteli kyseiseen yhteyteen. TLS 1.3 on nykyinen standardi: nopeampi ja turvallisempi. TLS 1.2 on yhä hyväksyttävä. TLS 1.0 ja 1.1 ovat vanhentuneita ja ne pitäisi poistaa käytöstä; SSLv3 ja SSLv2 ovat vakavasti haavoittuvia.
Sarjanumero
Tämä on CA:n kyseiselle varmenteelle antama yksilöllinen tunniste. Se on hyödyllinen varmennehallinnassa, OCSP stapling -tarkistuksissa ja incident-seurannassa silloin, kun samalla verkkotunnuksella on useita varmenteita.
SHA-256-sormenjälki
Tämä on koko varmenteen sisällöstä laskettu kryptografinen tiiviste. Jos kaksi sormenjälkeä ovat samat, kyseessä on sama varmenne. Vertaa sormenjälkeä ennen varmenteen vaihtoa ja sen jälkeen varmistaaksesi, että päivitys meni läpi, tai havaitaksesi odottamattoman korvauksen.
Toimintasuunnitelma varmenteen vanhenemiseen
Vanheneminen on yleisin SSL-katkoksen syy. Tämän taulukon avulla tiedät, mitä kannattaa tehdä jäljellä olevien päivien perusteella.
| Päivää vanhenemiseen | Tila | Suositeltu toimenpide |
|---|---|---|
| > 30 päivää | Kunnossa | Toimia ei tarvita heti. Aseta uusimismuistutus kohtaan, jossa aikaa on 30 päivää. |
| 8–30 päivää | Varoitus | Aloita uusiminen nyt. Useimmat CA:t ja automaattiset uusintapalvelut (Let's Encrypt, Certbot) käynnistävät uusimisen 30 päivän kohdalla. |
| 1–7 päivää | Kiireellinen | Uusi varmenne heti. Vanhentunut varmenne aiheuttaa selainvirheitä ja voi estää kaiken HTTPS-liikenteen. |
| 0 tai vähemmän | Vanhentunut | Varmenne on vanhentunut. Vaihda se välittömästi: sivustosi näyttää tietoturvavirheitä kaikille kävijöille. |
Yleisimmät SSL-virheet Chromessa, Firefoxissa ja Safarissa — syyt ja korjaukset
Tässä ovat selaimissa tavallisimmin näkyvät SSL-virheet ja niiden merkitys. Selvitä juurisyy tällä työkalulla ja tee sitten oikea korjaus.
Varmenteen valid_to-arvo on jo mennyt. Varmenne on vanhentunut ja se on uusittava, ennen kuin selaimet luottavat yhteyteen uudelleen.
Uusi varmenne CA:n tai hosting-palveluntarjoajan kautta. Varmista, että automaattinen uusiminen on määritetty oikein: useimmat CA:t uusivat varmenteen automaattisesti 30 päivän sisällä ennen vanhenemista.
Selaimen osoiterivillä näkyvää verkkotunnusta ei ole varmenteen CN- tai SAN-kentissä. Tämä tapahtuu usein verkkotunnuksen siirron, aliverkkotunnuksen ristiriidan tai väärälle verkkotunnukselle myönnetyn varmenteen jälkeen.
Myönnä varmenne uudelleen oikealle verkkotunnukselle. Tarkista, että sekä juuriverkkotunnus (example.com) että www-versio (www.example.com) ovat SAN-luettelossa.
Varmenteen on myöntänyt CA, jota ei ole selaimen tai käyttöjärjestelmän luottamusvarastossa. Tämä koskee itseallekirjoitettuja varmenteita, sisäisiä CA-varmenteita ja ketjuja, joista väli-CA puuttuu.
Asenna varmenne julkisesti luotetulta CA:lta. Jos käytät sisäistä CA:ta, asenna juurivarmenne asiakkaan luottamusvarastoon. Varmista lisäksi, että palvelin lähettää koko välivarmenteiden ketjun.
Myöntävä CA on peruuttanut varmenteen nimenomaisesti, yleensä siksi että yksityinen avain on vaarantunut, verkkotunnuksen omistaja on vaihtunut tai varmenne on myönnetty virheellisesti.
Hanki uusi varmenne heti. Jos et itse käynnistänyt peruutusta, yksityinen avaimesi saattaa olla vaarantunut. Kierrätä avain, myönnä varmenne uudelleen ja selvitä altistuminen.
Palvelin lähettää HTTP-vastauksen HTTPS-porttiin, tai välityspalvelin palauttaa HTTP-virheen ennen TLS-kättelyn valmistumista. Porttiin 443 tulee siis selväkielistä liikennettä TLS:n sijaan.
Varmista, että palvelin tarjoaa TLS:ää juuri siinä portissa, johon yhdistät. Tarkista myös kuormantasaajan ja välityspalvelimen asetukset, jotta SSL/TLS-terminointi on määritetty oikein.
Asiakas ja palvelin eivät pääse yhteisymmärrykseen TLS-versiosta tai salaussarjasta. Tämä tapahtuu usein, kun palvelin tukee vain vanhentuneita TLS 1.0/1.1 -versioita tai käyttää selaimista poistettuja salaussarjoja.
Ota palvelimella käyttöön TLS 1.2 ja TLS 1.3 sekä poista TLS 1.0 ja TLS 1.1 käytöstä. Päivitä salaussarjalista poistamalla RC4, 3DES ja export-tason salaukset. Käytä Mozillan TLS configuration generatoria saadaksesi valmiit asetukset esimerkiksi Nginxille tai Apachelle.
Näin tarkistat SSL-sertifikaatin 3 vaiheessa
Anna verkkotunnus
Kirjoita syöttökenttään mikä tahansa verkkotunnus, kuten github.com tai api.example.com. Työkalu poistaa https://-etuliitteen automaattisesti. Voit antaa myös mukautetun portin, jos HTTPS-palvelu ei toimi oletusportissa 443.
Tarkastele varmennetta
Hetkessä näet koko varmenteen: vanhenemispäivän ja lähtölaskennan, myöntäjäketjun, luottamustilan, protokollaversion (TLS 1.2 tai 1.3), salaussarjan, SAN-listan ja SHA-256-sormenjäljen. Tietoja ei tallenneta.
Tulkitse tulos
Jos varmenne on vanhentunut, itseallekirjoitettu tai isäntänimessä on ristiriita, tulos tuo ongelman selvästi esiin. Vanhenemispalkki muuttuu keltaiseksi, kun aikaa on alle 30 päivää, ja punaiseksi, kun aikaa on alle 7 päivää. Voit kopioida kaikki tiedot yhdellä klikkauksella.
Mitä SSL-sertifikaatti kertoo?
SSL/TLS-varmenne on digitaalinen todiste, joka vahvistaa verkkosivuston identiteetin ja mahdollistaa salatun yhteyden. Kun avaat sivuston HTTPS:n yli, selaimesi tarkistaa sivuston varmenteen, jonka on myöntänyt luotettu varmentaja (CA), ennen kuin salattu yhteys muodostetaan. Ilman kelvollista varmennetta selain näyttää tietoturvavaroituksia ja voi estää pääsyn, mikä heikentää käyttäjien luottamusta ja näkyvyyttä hakukoneissa.
Jokainen SSL-varmenne sisältää kolme keskeistä tietoa:
- •Kohde — verkkotunnus, ja OV/EV-varmenteissa myös organisaatio, jolle varmenne on myönnetty
- •Myöntäjä — varmentaja (CA), joka on allekirjoittanut ja varmistanut varmenteen
- •Voimassaoloaika — tarkat alkamis- ja päättymispäivät, joiden aikana varmenne on luotettu
Mitä tämä työkalu EI tarkista
Tämä työkalu tekee reaaliaikaisen TLS-kättelyn ja lukee varmenteen. Se ei tarkista:
- Salaussarjojen vahvuutta arvosana-asteikolla A–F — siihen tarvitset SSL Labsin täyden TLS-auditoinnin
- HSTS-otsaketta eikä preload-listan tilaa
- OCSP stapling -kokoonpanoa
- Varmenteen pinnausta (HPKP)
- HTTP:stä HTTPS:ään ohjauksen toimintaa
SSL-sertifikaattien tyypit
Eri varmennetyypit tarjoavat eri tasoisen identiteetin tarkistuksen. Tyyppi kertoo, mitä varmentaja on varmistanut ennen allekirjoitusta, ei sitä, kuinka vahva salaus on.
Varmentaja tarkistaa vain sen, että hakija hallitsee verkkotunnusta; yrityksen identiteettiä ei tarkisteta. Varmenne myönnetään yleensä minuuteissa automaattisen DNS- tai HTTP-haasteen avulla. Se sopii blogeihin, henkilökohtaisiin sivustoihin ja sisäisiin työkaluihin. Subject-kentässä näkyy vain CN (verkkotunnus), ei O-kenttää (organisaatio).
Varmentaja tarkistaa verkkotunnuksen hallinnan lisäksi organisaation juridisen olemassaolon. Prosessi kestää tavallisesti 1–3 arkipäivää. Varmenne näyttää yrityksen nimen O-kentässä, joten vierailija voi tarkistaa, kuka sivuston taustalla on. Sopii yrityssivustoille ja API-rajapinnoille.
Tämä on tiukin validointitaso: varmentaja tarkistaa verkkotunnuksen, organisaation, fyysisen osoitteen, juridisen aseman ja toiminnan olemassaolon. Aiemmin tällainen varmenne näkyi selaimessa vihreänä osoitepalkkina. Nykyisin yrityksen nimi näkyy varmenteen tiedoissa. EV on tavallinen rahoitusalalla ja maksutietoja käsittelevissä verkkokaupoissa.
Se kattaa juuriverkkotunnuksen ja kaikki ensimmäisen tason aliverkkotunnukset *.example.com-kuviolla CN- tai SAN-kentässä. Yksi wildcard-varmenne suojaa www.example.com-, api.example.com- ja cdn.example.com-osoitteet sekä muut vastaavat aliverkkotunnukset. Se ei kata toisen tason aliverkkotunnuksia, kuten dev.api.example.com, joille tarvitaan erillinen varmenne.
Yksi varmenne voi kattaa useita erillisiä verkkotunnuksia Subject Alternative Names -laajennuksen avulla. Tämä on tavallista silloin, kun useita tuotteita ajetaan saman varmenteen alla, esimerkiksi example.com, example.io ja app.example.net. Nykyaikaiset varmenteet käyttävät SAN-listaa lähes aina, myös yhden verkkotunnuksen tapauksessa, jolloin CN näkyy myös SAN-listassa.
Milloin SSL-sertifikaatti kannattaa tarkistaa
Ennen käyttöönottoa
Varmista, että varmenne kattaa juuri sen verkkotunnuksen, jonka aiot viedä tuotantoon. Tarkista, että myöntäjä on luotettu CA, että SAN-luettelosta löytyvät sekä www- että juuriverkkotunnuksen versiot ja että käytössä on vähintään TLS 1.2 ennen kuin ohjaat DNS:n tuotantoon.
Uusimisen seuranta
Seuraa vanhenemispäiviä ennakoivasti. Let's Encrypt -varmenteet vanhenevat 90 päivän välein, ja epäonnistunut automaattinen uusiminen aiheuttaa helposti käyttökatkon. Kaupalliset varmenteet kestävät yleensä vuoden. Tallenna tämä työkalu ja tarkista kuukausittain kaikki varmenteet, joilla on alle 30 päivää aikaa jäljellä.
Tietoturva-auditointi
Tunnista palvelimet, jotka käyttävät yhä TLS 1.0:aa tai 1.1:tä, heikkoja salaussarjoja tai itseallekirjoitettuja varmenteita. Vertaa SHA-256-sormenjälkeä odotettuun arvoon varmenteen vaihdon jälkeen varmistaaksesi, ettei varmennetta ole korvattu MITM-hyökkäyksessä.
Verkkotunnuksen siirron jälkeen
Kun siirrät verkkotunnuksen uudelle palvelimelle tai CDN:ään, tarkista että uusi varmenne kattaa verkkotunnuksen, että myöntäjä on oikea ja että SAN-luettelo vastaa odotettua. Jos vanha varmenne jää vanhalle palvelimelle eikä uutta provisionoida uudelle, selain näyttää virheitä vaikka DNS osoittaisi oikein.
Usein kysytyt kysymykset
Aiheeseen liittyvät työkalut
Porttitarkistin
Tarkista, onko portti 443 auki ja hyväksyykö se yhteyksiä ennen kuin tarkistat varmenteen.
DNS-haku
Varmista, että DNS A -tietueet osoittavat oikealle palvelimelle varmenteen käyttöönoton tai verkkotunnuksen siirron jälkeen.
Porttitiedot
Katso vakiporttien käyttötarkoitukset ja ymmärrä, mitkä palvelut toimivat missäkin porteissa.