Verificator certificat SSL/TLS
Verifică instant certificatul SSL/TLS al oricărui domeniu: data expirării, autoritatea emitentă, statutul de încredere și lanțul complet. Gratuit, fără cont.
Cum interpretezi rezultatele certificatului SSL
Fiecare câmp din rezultat spune ceva diferit despre certificat. Iată ce înseamnă fiecare element și la ce merită să fii atent.
Emitent (numele CA)
Organizația care a semnat și a emis certificatul. Ar trebui să fie o CA cunoscută, precum Let's Encrypt, DigiCert, Sectigo sau GlobalSign. Dacă emitentul și subiectul au același CN și aceeași organizație, certificatul este autosemnat, iar browserele vor afișa avertismente.
Subject Alternative Names
Lista de domenii și subdomenii pentru care certificatul este valid. În producție, verifică prezența atât a domeniului apex, cât și a variantei www. O intrare wildcard (*.example.com) acoperă toate subdomeniile de prim nivel, dar nu domeniul apex și nici subdomeniile de nivel al doilea.
Data expirării și numărătoarea inversă
Data după care certificatul nu mai este valid. Bara de numărătoare își schimbă culoarea din verde (>30 de zile) în galben (8–30 de zile) și apoi în roșu (<7 zile). Certificatele Let's Encrypt expiră la 90 de zile, iar cele comerciale au de obicei valabilitate de 1 an.
Versiunea protocolului TLS
Versiunea TLS negociată de server pentru această conexiune. TLS 1.3 este standardul actual: mai rapid și mai sigur. TLS 1.2 este acceptabil. TLS 1.0 și 1.1 sunt retrase din uz și ar trebui dezactivate, iar SSLv3 și SSLv2 sunt critic vulnerabile.
Număr de serie
Identificator unic atribuit de CA acestui certificat. Este util pentru administrarea certificatelor, căutări OCSP stapling și urmărirea incidentelor atunci când același domeniu are mai multe certificate.
Amprentă SHA-256
Hash criptografic al întregului conținut al certificatului. Două amprente identice înseamnă două certificate identice. Compară amprentele înainte și după o rotație de certificat pentru a confirma că actualizarea a fost aplicată sau pentru a detecta o înlocuire neașteptată.
Plan de acțiune pentru expirarea certificatului
Expirarea este cea mai frecventă cauză a incidentelor SSL. Folosește acest tabel ca să știi ce ai de făcut în funcție de numărul de zile rămase.
| Zile până la expirare | Stare | Acțiune recomandată |
|---|---|---|
| > 30 de zile | OK | Nu este necesară nicio acțiune. Programează un reminder de reînnoire la pragul de 30 de zile. |
| 8–30 de zile | Avertisment | Începe procesul de reînnoire acum. Majoritatea CA-urilor și serviciilor de auto-reînnoire (Let's Encrypt, Certbot) reînnoiesc la 30 de zile. |
| 1–7 zile | Urgent | Reînnoiește imediat. Un certificat expirat provoacă erori în browser și blochează tot traficul HTTPS. |
| 0 sau mai puțin | Expirat | Certificatul este expirat. Înlocuiește-l imediat: site-ul tău afișează erori de securitate tuturor vizitatorilor. |
Erori SSL comune în Chrome, Firefox și Safari: cauze și remedieri
Acestea sunt cele mai frecvente erori SSL întâlnite în browsere și ce înseamnă fiecare. Identifică mai întâi cauza de bază cu acest instrument, apoi aplică remedierea potrivită.
Câmpul valid_to al certificatului indică o dată din trecut. Certificatul a expirat și trebuie reînnoit înainte ca browserele să mai aibă încredere în conexiune.
Reînnoiește certificatul prin CA sau prin furnizorul de hosting. Verifică dacă auto-reînnoirea este configurată corect; majoritatea CA-urilor reînnoiesc automat în ultimele 30 de zile înainte de expirare.
Domeniul din bara de adrese a browserului nu apare în câmpurile CN sau SAN ale certificatului. Situația apare frecvent după o migrare de domeniu, o nepotrivire de subdomeniu sau emiterea certificatului pentru domeniul greșit.
Reemite certificatul incluzând domeniul corect. Verifică dacă atât domeniul apex (example.com), cât și subdomeniul www (www.example.com) apar în lista SAN.
Certificatul a fost emis de o CA care nu există în trust store-ul browserului sau al sistemului de operare. Aici intră certificatele autosemnate, certificatele emise intern și certificatele la care lipsește CA-ul intermediar din lanț.
Instalează un certificat emis de o CA publică de încredere. Dacă folosești o CA internă, instalează certificatul rădăcină în trust store-ul clientului. Asigură-te că serverul trimite întregul lanț de certificate intermediare.
Certificatul a fost revocat explicit de CA-ul emitent, de obicei pentru că cheia privată a fost compromisă, domeniul și-a schimbat proprietarul sau certificatul a fost emis din eroare.
Obține imediat un certificat nou. Dacă nu tu ai inițiat revocarea, cheia privată poate fi compromisă; rotește cheia, reemite certificatul și investighează expunerea.
Serverul trimite un răspuns HTTP pe un port HTTPS sau un proxy întoarce o eroare HTTP înainte ca handshake-ul TLS să se încheie. Portul 443 primește text clar în loc de TLS.
Confirmă că serverul este configurat să servească TLS pe portul la care te conectezi. Verifică setările load balancerului și ale proxy-ului și asigură-te că TLS termination este configurat corect.
Clientul și serverul nu pot ajunge la un acord asupra versiunii de protocol TLS sau asupra suitei de criptare. Problema apare frecvent când serverul mai acceptă doar TLS 1.0/1.1 (retrase în Chrome 84+, Firefox 74+, Safari 14+) sau folosește suite eliminate din browserele moderne.
Activează TLS 1.2 și TLS 1.3 pe server și dezactivează TLS 1.0 și TLS 1.1. Actualizează lista suitelor de criptare pentru a elimina RC4, 3DES și cifrările export-grade. Poți folosi generatorul Mozilla TLS pentru configurații Nginx și Apache gata de aplicat.
Cum verifici un certificat SSL în 3 pași
Introdu un domeniu
Tastează orice nume de domeniu, cum ar fi github.com sau api.example.com, în câmpul de intrare. Instrumentul elimină automat prefixul https://. Poți specifica și un port personalizat dacă serviciul HTTPS nu rulează pe portul implicit 443.
Inspectează certificatul
În câteva secunde vei vedea certificatul complet: data expirării și numărătoarea inversă, lanțul emitentului, statutul de încredere, versiunea de protocol (TLS 1.2 sau 1.3), suita de criptare, SAN-urile și amprenta SHA-256. Nu stocăm datele.
Interpretează rezultatele
Dacă certificatul este expirat, autosemnat sau are o nepotrivire de hostname, rezultatul va semnala clar problema. Bara de expirare devine galbenă sub 30 de zile și roșie sub 7 zile. Poți copia toate detaliile dintr-un clic.
Ce vă spune un certificat SSL/TLS?
Un certificat SSL/TLS este o credențială digitală care confirmă identitatea unui site și permite o conexiune criptată. Când accesezi un site prin HTTPS, browserul verifică certificatul emis de o autoritate de certificare (CA) de încredere înainte de a stabili canalul criptat. Fără un certificat valid, browserul afișează avertismente de securitate și poate bloca accesul, afectând direct încrederea utilizatorilor și vizibilitatea în căutare.
Fiecare certificat SSL conține 3 informații esențiale:
- •Subiect — numele domeniului (și organizația, în cazul OV/EV) pentru care a fost emis certificatul
- •Emitent — autoritatea de certificare (CA) care a semnat și a validat certificatul
- •Perioadă de valabilitate — datele exacte între care certificatul este considerat de încredere
Ce NU verifică acest instrument
Acest instrument face un handshake TLS live și citește certificatul. Nu:
- Nu evaluează puterea suitei de criptare (A–F); pentru un audit complet TLS folosește SSL Labs
- Nu verifică antetul HSTS sau statutul din preload list
- Nu testează configurația OCSP stapling
- Nu detectează certificate pinning (HPKP)
- Nu verifică comportamentul redirecționării de la HTTP la HTTPS
Tipuri de certificate SSL
Tipurile de certificate oferă niveluri diferite de verificare a identității. Tipul indică ce a verificat emitentul înainte de semnare, nu cât de puternică este criptarea.
CA-ul verifică doar că solicitantul controlează domeniul; identitatea companiei nu este verificată. Certificatul se emite în câteva minute prin challenge DNS sau HTTP automat. Este potrivit pentru bloguri, site-uri personale și instrumente interne. În câmpul Subject apare doar CN-ul (numele de domeniu), fără câmpul O (organizație).
CA-ul verifică atât controlul asupra domeniului, cât și existența legală a organizației. Procesul durează, de regulă, 1-3 zile lucrătoare. Certificatul afișează numele companiei în câmpul O, astfel încât vizitatorii pot vedea cine deține site-ul. Recomandat pentru site-uri business și API-uri.
Este forma cea mai riguroasă de validare: CA-ul verifică domeniul, organizația, adresa fizică, statutul juridic și existența operațională. În trecut declanșa bara verde din browsere; astăzi numele companiei apare în detaliile certificatului. Este folosit frecvent de instituții financiare și platforme de e-commerce care procesează plăți.
Acoperă domeniul de bază și toate subdomeniile de prim nivel prin modelul *.example.com din CN sau SAN. Un singur certificat wildcard protejează www.example.com, api.example.com, cdn.example.com și altele similare. Nu acoperă subdomenii de nivel al doilea, precum dev.api.example.com; pentru acestea este necesar un certificat separat.
Un singur certificat poate acoperi mai multe domenii distincte prin extensia Subject Alternative Names. Este soluția uzuală când mai multe produse sunt servite sub același certificat, de exemplu example.com, example.io și app.example.net. Majoritatea certificatelor moderne folosesc SAN chiar și pentru un singur domeniu, iar CN-ul este oglindit în lista SAN.
Când merită să verifici un certificat SSL
Înainte de lansare
Verifică dacă certificatul acoperă exact domeniul pe care îl pui în producție. Confirmă că emitentul este o CA de încredere, nu un certificat autosemnat, că SAN-urile includ atât varianta www, cât și apex, și că protocolul negociat este TLS 1.2 sau mai nou înainte să pointezi DNS-ul către producție.
Monitorizarea reînnoirii
Verifică proactiv data expirării. Certificatele Let's Encrypt expiră la fiecare 90 de zile, iar o auto-reînnoire ratată înseamnă indisponibilitate. Certificatele comerciale au, în general, valabilitate de 1 an. Marchează acest instrument și verifică lunar tot ce are sub 30 de zile rămase.
Audit de securitate
Identifică serverele care mai folosesc TLS 1.0 sau 1.1, suite de criptare slabe ori certificate autosemnate. Compară amprenta SHA-256 cu valoarea așteptată după o rotație de certificat pentru a confirma că nu a avut loc o substituire de tip MITM.
După migrarea domeniului
După mutarea unui domeniu pe un host nou sau pe un CDN, verifică dacă noul certificat acoperă domeniul, dacă emitentul este cel așteptat și dacă SAN-urile corespund. Un certificat rămas pe vechiul server și neprovisionat pe cel nou generează erori în browser chiar dacă DNS-ul este configurat corect.
Întrebări frecvente
Instrumente conexe
Verificator de porturi
Verifică mai întâi dacă portul 443 este deschis și acceptă conexiuni, apoi validează certificatul.
Căutare DNS
Confirmă că înregistrările DNS A indică spre serverul corect după instalarea unui certificat sau migrarea domeniului.
Info port
Caută alocările standard de porturi și vezi ce servicii rulează, în mod normal, pe fiecare port.