SSL प्रमाणपत्र चेकर
किसी भी डोमेन का SSL प्रमाणपत्र तुरंत जाँचें: समाप्ति तिथि, जारीकर्ता, विश्वसनीयता स्थिति और पूरी चेन देखें। मुफ़्त, बिना लॉगिन के।
SSL प्रमाणपत्र के परिणाम कैसे पढ़ें
परिणाम के हर field से प्रमाणपत्र के बारे में अलग जानकारी मिलती है। नीचे बताया गया है कि कौन-सा field क्या बताता है और किस बात पर ध्यान देना चाहिए।
जारीकर्ता (CA नाम)
यह वह संगठन है जिसने प्रमाणपत्र पर हस्ताक्षर किए और उसे जारी किया। आदर्श रूप से यह Let's Encrypt, DigiCert, Sectigo या GlobalSign जैसी प्रसिद्ध CA होनी चाहिए। अगर issuer और subject में एक ही CN और O हैं, तो प्रमाणपत्र self-signed है और ब्राउज़र चेतावनी दिखाएगा।
विषय वैकल्पिक नाम (SAN)
यह उन domain और subdomain की सूची है जिनके लिए प्रमाणपत्र मान्य है। production में root domain और www दोनों मौजूद होने चाहिए। wildcard entry (*.example.com) सभी first-level subdomain को cover करती है, लेकिन root domain या second-level subdomain को नहीं।
समाप्ति तिथि और countdown
यह वह तिथि है जिसके बाद प्रमाणपत्र मान्य नहीं रहता। countdown bar 30 दिन से ज़्यादा होने पर हरी, 8–30 दिन पर पीली और 7 दिन से कम होने पर लाल हो जाती है। Let's Encrypt प्रमाणपत्र हर 90 दिन में समाप्त होते हैं; व्यावसायिक प्रमाणपत्र आम तौर पर 1 साल तक चलते हैं।
TLS प्रोटोकॉल संस्करण
यह उस TLS version को दिखाता है जिसे आपके server ने इस connection के लिए negotiate किया। TLS 1.3 वर्तमान मानक है: तेज़ और अधिक सुरक्षित। TLS 1.2 अब भी स्वीकार्य है। TLS 1.0 और 1.1 deprecated हैं और इन्हें disable होना चाहिए; SSLv3 और SSLv2 गंभीर रूप से असुरक्षित हैं।
क्रमांक
यह CA द्वारा इस विशेष प्रमाणपत्र को दिया गया unique identifier है। यह certificate management, OCSP stapling lookup और incident tracking में काम आता है, खासकर जब एक ही domain के लिए कई प्रमाणपत्र मौजूद हों।
SHA-256 फ़िंगरप्रिंट
यह प्रमाणपत्र की पूरी सामग्री का cryptographic hash है। अगर दो fingerprint एक जैसे हैं, तो प्रमाणपत्र भी वही है। certificate rotation से पहले और बाद में fingerprint मिलाकर देखें, ताकि यह पुष्टि हो सके कि update सही तरह लागू हुआ या कोई अप्रत्याशित substitution नहीं हुई।
प्रमाणपत्र समाप्ति कार्य-योजना
SSL outage का सबसे सामान्य कारण प्रमाणपत्र का समाप्त होना है। कितने दिन बचे हैं, उसके आधार पर क्या करना चाहिए, यह तालिका बताती है।
| समाप्ति तक बचे दिन | स्थिति | अनुशंसित कार्रवाई |
|---|---|---|
| > 30 दिन | ठीक | तुरंत कोई कार्रवाई ज़रूरी नहीं। 30 दिन शेष रहने पर renewal reminder सेट कर दें। |
| 8–30 दिन | चेतावनी | अभी renewal शुरू करें। अधिकांश CA और auto-renewal सेवाएँ (Let's Encrypt, Certbot) 30 दिन शेष रहते ही नवीनीकरण शुरू कर देती हैं। |
| 1–7 दिन | तत्काल | तुरंत नवीनीकरण करें। समाप्त प्रमाणपत्र browser error पैदा करता है और पूरा HTTPS traffic रोक सकता है। |
| 0 या उससे कम | समाप्त | प्रमाणपत्र समाप्त हो चुका है। इसे तुरंत बदलें: आपकी साइट सभी विज़िटर को सुरक्षा त्रुटियाँ दिखा रही है। |
Chrome, Firefox और Safari में आम SSL त्रुटियाँ — कारण और समाधान
नीचे ब्राउज़र में दिखने वाली सबसे आम SSL त्रुटियाँ और उनके मतलब दिए गए हैं। इस टूल की मदद से root cause पहचानें, फिर सही समाधान लागू करें।
प्रमाणपत्र की valid_to तारीख़ बीत चुकी है। प्रमाणपत्र समाप्त हो चुका है और ब्राउज़र के भरोसा करने से पहले इसे renew करना ज़रूरी है।
प्रमाणपत्र को अपनी CA या hosting provider के माध्यम से renew करें। सुनिश्चित करें कि auto-renewal सही तरह configured है; अधिकांश CA समाप्ति से 30 दिन पहले अपने-आप renewal करती हैं।
ब्राउज़र की address bar में दिख रहा domain प्रमाणपत्र के CN या SAN फ़ील्ड में शामिल नहीं है। यह domain migration, subdomain mismatch या गलत domain के लिए जारी प्रमाणपत्र के कारण होता है।
सही domain शामिल करके प्रमाणपत्र दोबारा जारी करें। जाँचें कि root domain (example.com) और www subdomain (www.example.com) दोनों SAN सूची में मौजूद हों।
प्रमाणपत्र ऐसी CA ने जारी किया है जो browser या operating system के trust store में मौजूद नहीं है। इसमें self-signed प्रमाणपत्र, internal CA से जारी प्रमाणपत्र, या ऐसी chain शामिल है जिसमें intermediate CA missing है।
किसी publicly trusted CA से प्रमाणपत्र इंस्टॉल करें। अगर आप internal CA इस्तेमाल कर रहे हैं, तो client के trust store में root certificate जोड़ें। यह भी सुनिश्चित करें कि server पूरी intermediate chain भेज रहा हो।
प्रमाणपत्र issuing CA द्वारा स्पष्ट रूप से revoke कर दिया गया है, आम तौर पर इसलिए कि private key compromise हो गई, domain ownership बदल गई या प्रमाणपत्र गलती से जारी हुआ।
तुरंत नया प्रमाणपत्र लें। अगर आपने revoke नहीं किया, तो आपकी private key से समझौता हो चुका हो सकता है। key rotate करें, प्रमाणपत्र दोबारा जारी करें और exposure की जाँच करें।
सर्वर HTTPS पोर्ट पर HTTP response भेज रहा है, या proxy TLS handshake पूरा होने से पहले HTTP error लौटा रहा है। यानी port 443 पर TLS की जगह plaintext पहुँच रहा है।
पक्का करें कि server उसी port पर TLS serve कर रहा है जिस पर आप कनेक्ट कर रहे हैं। load balancer और proxy configuration भी जाँचें, ताकि SSL/TLS termination सही तरह सेट हो।
client और server TLS version या cipher suite पर सहमत नहीं हो पा रहे। यह अक्सर तब होता है जब server केवल TLS 1.0/1.1 सपोर्ट करता है, जो आधुनिक browser में deprecated है, या ऐसी suites इस्तेमाल करता है जिन्हें browsers ने हटा दिया है।
server पर TLS 1.2 और TLS 1.3 सक्षम करें और TLS 1.0 व TLS 1.1 बंद करें। RC4, 3DES और export-grade cipher हटाने के लिए server की cipher suite list अपडेट करें। तैयार Nginx और Apache config के लिए Mozilla TLS configuration generator का इस्तेमाल करें।
SSL प्रमाणपत्र कैसे जाँचें (3 चरण)
डोमेन दर्ज करें
इनपुट फ़ील्ड में कोई भी डोमेन नाम, जैसे github.com या api.example.com, दर्ज करें। टूल अपने-आप https:// prefix हटा देता है। अगर HTTPS सेवा डिफ़ॉल्ट पोर्ट 443 पर नहीं चल रही, तो आप custom port भी दे सकते हैं।
प्रमाणपत्र देखें
कुछ ही सेकंड में आपको पूरा प्रमाणपत्र दिख जाएगा: समाप्ति तिथि और countdown, issuer chain, trust status, protocol version (TLS 1.2 या 1.3), cipher suite, SAN और SHA-256 fingerprint। कोई डेटा स्टोर नहीं किया जाता।
परिणाम समझें
अगर प्रमाणपत्र समाप्त हो चुका है, स्व-हस्ताक्षरित है या होस्टनेम mismatch है, तो परिणाम समस्या को साफ़ दिखाएगा। समाप्ति bar 30 दिनों के भीतर पीली और 7 दिनों के भीतर लाल हो जाती है। सभी विवरण एक क्लिक में कॉपी किए जा सकते हैं।
SSL प्रमाणपत्र क्या बताता है?
SSL/TLS प्रमाणपत्र एक डिजिटल क्रेडेंशियल है जो किसी वेबसाइट की पहचान सत्यापित करता है और एन्क्रिप्टेड कनेक्शन स्थापित करने में मदद करता है। जब आप किसी साइट को HTTPS पर खोलते हैं, तो ब्राउज़र एन्क्रिप्टेड चैनल शुरू करने से पहले उस साइट के प्रमाणपत्र की जाँच करता है, जिसे किसी विश्वसनीय Certificate Authority (CA) ने जारी किया होता है। वैध प्रमाणपत्र न होने पर ब्राउज़र सुरक्षा चेतावनी दिखाता है और कभी-कभी पहुँच भी रोक देता है, जिससे उपयोगकर्ता का भरोसा और सर्च विज़िबिलिटी दोनों प्रभावित होते हैं।
हर SSL प्रमाणपत्र में 3 मुख्य जानकारियाँ होती हैं:
- •Subject — वह domain name, और OV/EV में organization भी, जिसके लिए प्रमाणपत्र जारी किया गया
- •Issuer — वह Certificate Authority (CA) जिसने प्रमाणपत्र पर हस्ताक्षर किए और उसे सत्यापित किया
- •Validity period — सटीक प्रारंभ और समाप्ति तिथियाँ जिनके दौरान प्रमाणपत्र trusted रहता है
यह टूल क्या नहीं जाँचता
यह टूल लाइव TLS handshake करता है और प्रमाणपत्र पढ़ता है। यह निम्न चीज़ें नहीं जाँचता:
- cipher suite की मजबूती को A–F ग्रेड में आँकना — इसके लिए SSL Labs का पूर्ण TLS audit इस्तेमाल करें
- HSTS header या preload list की स्थिति
- OCSP stapling configuration
- certificate pinning (HPKP)
- HTTP से HTTPS redirect behavior
SSL प्रमाणपत्र के प्रकार
अलग-अलग प्रमाणपत्र प्रकार अलग स्तर का identity verification देते हैं। फर्क इस बात का होता है कि जारीकर्ता ने हस्ताक्षर से पहले क्या जाँचा, न कि एन्क्रिप्शन कितना मज़बूत है।
CA केवल यह सत्यापित करती है कि आवेदनकर्ता डोमेन को नियंत्रित करता है; कंपनी की पहचान नहीं जाँची जाती। यह आमतौर पर automated DNS या HTTP challenge के ज़रिए कुछ मिनटों में जारी हो जाता है। ब्लॉग, व्यक्तिगत साइट और आंतरिक टूल के लिए उपयुक्त है। subject में केवल CN (डोमेन नाम) दिखता है, O (organization) फ़ील्ड नहीं।
CA डोमेन नियंत्रण के साथ-साथ संगठन के कानूनी अस्तित्व की भी पुष्टि करती है। इसमें आम तौर पर 1 से 3 कार्यदिवस लगते हैं। प्रमाणपत्र के O फ़ील्ड में कंपनी का नाम दिखता है, इसलिए आगंतुक देख सकते हैं कि यह किस संगठन का है। व्यावसायिक साइटों और API के लिए उपयुक्त।
यह सबसे सख़्त validation स्तर है: CA डोमेन, संगठन, भौतिक पता, कानूनी स्थिति और संचालन अस्तित्व की पुष्टि करती है। पहले इससे ब्राउज़र में हरी address bar दिखाई देती थी। अब कंपनी का नाम प्रमाणपत्र विवरण में दिखता है। भुगतान डेटा संभालने वाले वित्तीय संस्थानों और e-commerce प्लेटफ़ॉर्म में यह आम है।
यह root domain और उसके सभी first-level subdomain को CN या SAN में *.example.com pattern के माध्यम से कवर करता है। एक ही wildcard प्रमाणपत्र www.example.com, api.example.com, cdn.example.com और कई अन्य subdomain सुरक्षित कर सकता है। यह dev.api.example.com जैसे second-level subdomain को कवर नहीं करता; उनके लिए अलग प्रमाणपत्र चाहिए।
एक ही प्रमाणपत्र Subject Alternative Names extension के माध्यम से कई अलग-अलग domain को कवर कर सकता है। यह तब आम होता है जब एक ही प्रमाणपत्र के नीचे कई प्रोडक्ट होस्ट किए जाते हैं, जैसे example.com, example.io और app.example.net। आज अधिकांश आधुनिक प्रमाणपत्र single domain के लिए भी SAN का उपयोग करते हैं, जहाँ CN भी SAN सूची में शामिल रहता है।
SSL प्रमाणपत्र कब जाँचना चाहिए
डिप्लॉयमेंट से पहले
पक्का करें कि प्रमाणपत्र उसी डोमेन को कवर करता है जिसे आप production में ले जा रहे हैं। देखें कि जारीकर्ता विश्वसनीय CA है, SAN सूची में www और root domain दोनों शामिल हैं, और DNS को production पर पॉइंट करने से पहले protocol कम-से-कम TLS 1.2 है।
नवीनीकरण मॉनिटरिंग
समाप्ति तिथियाँ पहले से जाँचते रहें। Let's Encrypt प्रमाणपत्र हर 90 दिनों में समाप्त होते हैं और अगर auto-renewal चूक जाए तो outage हो सकता है। व्यावसायिक प्रमाणपत्र आम तौर पर 1 साल तक चलते हैं। इस टूल को bookmark करें और 30 दिनों से कम बचे प्रमाणपत्रों की हर महीने जाँच करें।
सुरक्षा ऑडिट
ऐसे सर्वर पहचानें जो अब भी TLS 1.0 या 1.1, कमजोर cipher suite या स्व-हस्ताक्षरित प्रमाणपत्र इस्तेमाल कर रहे हैं। certificate rotation के बाद SHA-256 fingerprint को अपेक्षित मान से मिलाकर देखें, ताकि यह पुष्टि हो सके कि MITM प्रतिस्थापन नहीं हुआ।
डोमेन माइग्रेशन के बाद
डोमेन को नए host या CDN पर ले जाने के बाद जाँचें कि नया प्रमाणपत्र सही डोमेन को कवर करता है, जारीकर्ता सही है और SAN सूची अपेक्षित entries से मेल खाती है। अगर पुराना प्रमाणपत्र पुराने सर्वर पर ही रह जाए और नया server पर provision न हो, तो DNS सही होने पर भी browser error दिखेंगे।
अक्सर पूछे जाने वाले सवाल
संबंधित टूल
पोर्ट चेकर
प्रमाणपत्र की जाँच से पहले देखें कि पोर्ट 443 खुला है और कनेक्शन स्वीकार कर रहा है या नहीं।
DNS खोज
प्रमाणपत्र deployment या domain migration के बाद जाँचें कि DNS A record सही server की ओर point कर रहे हैं।
पोर्ट जानकारी
मानक port assignment देखें और समझें कि कौन-सी सेवाएँ किन port पर चलती हैं।