Sprawdzanie certyfikatu SSL
Sprawdź natychmiast certyfikat SSL dowolnej domeny — zobacz datę wygaśnięcia, wystawcę, status zaufania i pełny łańcuch. Za darmo, bez logowania.
Jak odczytać wyniki certyfikatu SSL
Każde pole w zestawie wyników mówi coś innego o certyfikacie. Oto, co oznacza każda informacja i na co należy zwrócić uwagę.
Wystawca (nazwa urzędu certyfikacji)
Organizacja, która podpisała i wydała certyfikat. Powinien to być dobrze znany urząd certyfikacji, taki jak Let's Encrypt, DigiCert, Sectigo lub GlobalSign. Jeśli wystawca i podmiot mają tę samą nazwę CN i O, certyfikat jest podpisany samodzielnie — przeglądarki wyświetli ostrzeżenie.
Alternatywne nazwy podmiotu
Lista domen i subdomen, dla których ważny jest ten certyfikat. W przypadku produkcji potwierdź, że obecna jest zarówno domena apex, jak i www. Wpis wieloznaczny (*.example.com) obejmuje wszystkie subdomeny pierwszego poziomu, ale nie subdomeny wierzchołkowe ani subdomeny drugiego poziomu.
Data ważności i odliczanie
Data, po której certyfikat traci ważność. Pasek odliczania zmienia się z zielonego (>30 dni) na żółty (8–30 dni) na czerwony (<7 dni). Certyfikaty Let's Encrypt wygasają co 90 dni; certyfikaty komercyjne zazwyczaj obowiązują przez 1 rok.
Wersja protokołu TLS
Wersja TLS wynegocjowana przez Twój serwer dla tego połączenia. TLS 1.3 to obecny standard — szybszy i bezpieczniejszy. TLS 1.2 jest akceptowalny. Protokoły TLS 1.0 i 1.1 są przestarzałe i należy je wyłączyć; SSLv3 i SSLv2 są krytycznie podatne na ataki.
Numer seryjny
Unikalny identyfikator przypisany przez urząd certyfikacji do tego konkretnego certyfikatu. Przydatne do zarządzania certyfikatami, wyszukiwania zszywek OCSP i śledzenia incydentów, gdy istnieje wiele certyfikatów dla tej samej domeny.
Odcisk palca SHA-256
Hash kryptograficzny pełnej zawartości certyfikatu. Dwa identyczne odciski palców oznaczają dwa identyczne certyfikaty. Porównaj odciski palców przed i po rotacji certyfikatu, aby potwierdzić, że aktualizacja została zastosowana — lub aby wykryć nieoczekiwaną wymianę certyfikatu.
Plan działania w sprawie wygaśnięcia certyfikatu
Wygaśnięcie jest najczęstszą przyczyną przerw w działaniu protokołu SSL. Skorzystaj z tej tabeli, aby dowiedzieć się, jakie działania należy podjąć w zależności od liczby pozostałych dni.
| Dni do wygaśnięcia | Stan | Zalecane działanie |
|---|---|---|
| > 30 dni | W porządku | Żadne działanie nie jest potrzebne. Zaplanuj przypomnienie o odnowieniu po 30 dniach. |
| 8–30 dni | Ostrzeżenie | Rozpocznij odnowienie teraz. Większość urzędów certyfikacji i usług automatycznego odnawiania (Let's Encrypt, Certbot) odnawiają się co 30 dni. |
| 1–7 dni | Pilne | Odnów natychmiast. Wygasły certyfikat powoduje błędy przeglądarki i blokuje cały ruch HTTPS. |
| 0 lub ujemna | Wygasło | Certyfikat wygasł. Wymień go natychmiast — Twoja witryna wyświetla błędy bezpieczeństwa wszystkim odwiedzającym. |
Typowe błędy SSL w Chrome, Firefox i Safari — przyczyny i rozwiązania
Oto najczęstsze błędy SSL spotykane w przeglądarkach i znaczenie każdego z nich. Za pomocą tego narzędzia zidentyfikuj główną przyczynę, a następnie zastosuj ukierunkowaną poprawkę.
Data valid_to certyfikatu przypada w przeszłości. Certyfikat wygasł i należy go odnowić, aby przeglądarki zaufały połączeniu.
Odnów certyfikat za pośrednictwem swojego CA lub dostawcy hostingu. Sprawdź, czy automatyczne odnawianie jest poprawnie skonfigurowane — większość CA odnawia automatycznie w ciągu 30 dni przed wygaśnięciem.
Domena w pasku adresu przeglądarki nie jest wymieniona w polach CN lub SAN certyfikatu. Dzieje się tak po migracji domeny, niezgodności subdomeny lub wydaniu certyfikatu dla niewłaściwej domeny.
Wystaw ponownie certyfikat, podając poprawną domenę. Sprawdź, czy zarówno domena wierzchołkowa (example.com), jak i subdomena www (www.example.com) znajdują się na liście sieci SAN.
Certyfikat został wystawiony przez urząd certyfikacji, którego nie ma w magazynie zaufanych certyfikatów przeglądarki lub systemu operacyjnego. Obejmuje to certyfikaty z podpisem własnym, certyfikaty wydawane wewnętrznie lub certyfikaty, w przypadku których w łańcuchu brakuje pośredniego urzędu certyfikacji.
Zainstaluj certyfikat z publicznie zaufanego urzędu certyfikacji. Jeśli korzystasz z wewnętrznego urzędu certyfikacji, zainstaluj certyfikat główny w magazynie zaufanych certyfikatów klienta. Upewnij się, że serwer wysyła pełny łańcuch pośredni.
Certyfikat został wyraźnie unieważniony przez wystawiający urząd certyfikacji — zazwyczaj z powodu naruszenia klucza prywatnego, zmiany właściciela domeny lub certyfikatu wystawionego przez pomyłkę.
Natychmiast uzyskaj nowy certyfikat. Jeśli go nie unieważniłeś, Twój klucz prywatny może zostać naruszony — obróć klucz, wystaw ponownie certyfikat i sprawdź narażenie.
Serwer wysyła odpowiedź HTTP na porcie HTTPS lub serwer proxy zwraca błąd HTTP przed zakończeniem uzgadniania TLS. Port 443 odbiera zwykły tekst zamiast TLS.
Upewnij się, że serwer jest skonfigurowany do obsługi TLS na porcie, do którego się łączysz. Sprawdź konfigurację modułu równoważenia obciążenia i serwera proxy — upewnij się, że zakończenie protokołu SSL jest prawidłowo skonfigurowane.
Klient i serwer nie mogą uzgodnić wersji protokołu TLS lub zestawu szyfrów. Często występuje, gdy serwer obsługuje tylko TLS 1.0/1.1 (wycofany w Chrome 84+, Firefox 74+, Safari 14+), lub używa zestawów szyfrów usuniętych z nowoczesnych przeglądarek.
Włącz TLS 1.2 i TLS 1.3 na serwerze i wyłącz TLS 1.0 i TLS 1.1. Zaktualizuj listę zestawów szyfrów serwera, aby usunąć RC4, 3DES i szyfry klasy eksportowej. Użyj generatora konfiguracji TLS Mozilla do gotowych konfiguracji Nginx i Apache.
Jak sprawdzić certyfikat SSL (3 kroki)
Wprowadź domenę
Wpisz dowolną nazwę domeny — na przykład github.com lub api.example.com — w polu wejściowym. Narzędzie automatycznie usuwa prefiks https://. Możesz także określić port niestandardowy, jeśli usługa HTTPS nie działa na domyślnym porcie 443.
Sprawdź certyfikat
W ciągu kilku sekund zobaczysz pełny certyfikat: datę wygaśnięcia i odliczanie, łańcuch wystawcy, status zaufania, wersję protokołu (TLS 1.2 lub 1.3), zestaw szyfrów, SANs i odcisk SHA-256. Żadne dane nie są przechowywane.
Przeczytaj wyniki
Jeśli certyfikat wygasł, jest samopodpisany lub nastąpiło niezgodność nazwy hosta, wynik wyraźnie oznaczy problem. Pasek wygaśnięcia zmienia kolor na żółty w ciągu 30 dni i na czerwony w ciągu 7 dni. Skopiuj wszystkie szczegóły jednym kliknięciem.
Co mówi ci certyfikat SSL?
Certyfikat SSL/TLS to cyfrowe poświadczenie, które uwierzytelnia tożsamość witryny internetowej i umożliwia szyfrowane połączenie. Gdy odwiedzasz witrynę za pośrednictwem protokołu HTTPS, Twoja przeglądarka weryfikuje certyfikat witryny — wydany przez zaufany urząd certyfikacji (CA) — przed ustanowieniem zaszyfrowanego kanału. Bez ważnego certyfikatu przeglądarki wyświetlają ostrzeżenia dotyczące bezpieczeństwa i blokują dostęp, co bezpośrednio wpływa na zaufanie użytkowników i rankingi wyszukiwania.
Każdy certyfikat SSL zawiera 3 kluczowe informacje:
- •Podmiot — nazwa domeny (i organizacja dla OV/EV), dla której wydano certyfikat
- •Wystawca — Urząd Certyfikacji (CA), który podpisał i zweryfikował certyfikat
- •Okres ważności — dokładne daty rozpoczęcia i zakończenia, podczas których certyfikat jest zaufany
Czego to narzędzie NIE sprawdza
Narzędzie wykonuje live uzgadnianie TLS i odczytuje certyfikat. Nie wykonuje:
- Oceniania siły zestawu szyfrów (A–F) — do pełnego audytu TLS użyj SSL Labs
- Sprawdzania nagłówka HSTS lub stanu listy preload
- Testowania konfiguracji OCSP stapling
- Wykrywania przypinania certyfikatów (HPKP)
- Weryfikacji zachowania przekierowania z HTTP na HTTPS
Typy certyfikatów SSL
Różne typy certyfikatów oferują różne poziomy weryfikacji tożsamości. Typ określa, co wystawca sprawdzał przed podpisaniem, a nie siłę szyfrowania.
Urząd certyfikacji sprawdza jedynie, czy wnioskodawca kontroluje domenę – nie sprawdza się tożsamości firmy. Wydawane w ciągu kilku minut poprzez automatyczne wyzwanie DNS lub HTTP. Nadaje się do blogów, witryn osobistych i narzędzi wewnętrznych. W temacie pojawi się tylko CN (nazwa domeny), bez pola O (organizacja).
Urząd certyfikacji weryfikuje kontrolę nad domeną oraz istnienie prawne organizacji. Zajmuje 1–3 dni robocze. Certyfikat zawiera nazwę firmy w polu O — odwiedzający mogą sprawdzić certyfikat i zobaczyć, kto jest jego właścicielem. Zalecane w przypadku witryn biznesowych i interfejsów API.
Najbardziej rygorystyczna walidacja — urząd certyfikacji weryfikuje domenę, organizację, adres fizyczny, status prawny i istnienie operacyjne. Poprzednio wywoływał zielony pasek adresu w przeglądarkach. Teraz pokazuje nazwę firmy w szczegółach certyfikatu. Wymagane przez instytucje finansowe i platformy e-commerce obsługujące dane dotyczące płatności.
Obejmuje domenę główną i wszystkie subdomeny pierwszego poziomu przy użyciu wzorca *.example.com w sieci CN lub SAN. Pojedynczy certyfikat wieloznaczny zabezpiecza strony www.example.com, api.example.com, cdn.example.com i nie tylko. Nie obejmuje subdomen drugiego poziomu, takich jak dev.api.example.com — wymagają one osobnego certyfikatu.
Pojedynczy certyfikat może obejmować wiele różnych domen dzięki rozszerzeniu Alternatywne nazwy podmiotu. Typowe w przypadku hostingu wielu produktów w ramach jednego certyfikatu — np. przykład.com, przykład.io i aplikacja.example.net. Większość nowoczesnych certyfikatów korzysta z sieci SAN nawet w przypadku pojedynczych domen, a numer CN jest odzwierciedlony na liście sieci SAN.
Kiedy sprawdzić certyfikat SSL
Przed wdrożeniem
Sprawdź, czy certyfikat obejmuje dokładnie wdrażaną domenę. Przed skierowaniem DNS do środowiska produkcyjnego upewnij się, że wystawca jest zaufanym urzędem certyfikacji (nie z podpisem własnym), sieci SAN obejmują warianty www i apex, a protokół to TLS 1.2 lub nowszy.
Monitorowanie odnawiania certyfikatów
Aktywnie sprawdzaj daty ważności. Certyfikaty Let's Encrypt wygasają co 90 dni — przegapienie automatycznego odnowienia powoduje awarię. Certyfikaty komercyjne zazwyczaj wytrzymują 1 rok. Dodaj to narzędzie do zakładek i co miesiąc sprawdzaj, czy nie minęło mniej niż 30 dni.
Audyt bezpieczeństwa
Zidentyfikuj serwery nadal korzystające z protokołu TLS 1.0 lub 1.1, słabych zestawów szyfrów lub certyfikatów z podpisem własnym. Po rotacji certyfikatu sprawdź odcisk palca SHA-256 z oczekiwaną wartością, aby potwierdzić, że nie nastąpiło podstawienie MITM.
Po migracji domeny
Po przeniesieniu domeny na nowy host lub CDN sprawdź, czy nowy certyfikat obejmuje domenę, wystawca jest poprawny, a sieci SAN odpowiadają oczekiwanemu zestawowi. Certyfikat pozostawiony na starym serwerze i nie udostępniony na nowym powoduje błędy przeglądarki, nawet jeśli DNS jest prawidłowy.
Często zadawane pytania
Powiązane narzędzia
Sprawdzanie portów
Przed zweryfikowaniem certyfikatu sprawdź, czy port 443 jest otwarty i akceptuje połączenia.
Wyszukiwanie DNS
Sprawdź rekordy DNS A wskazujące właściwy serwer po wdrożeniu certyfikatu lub migracji domeny.
Port Info
Wyszukaj standardowe przypisania portów i dowiedz się, które usługi działają na jakich portach.