Проверка SSL/TLS-сертификата
Мгновенно проверьте SSL/TLS-сертификат любого домена: срок действия, центр сертификации, статус доверия и полную цепочку. Бесплатно, без входа в аккаунт.
Как читать результаты проверки SSL-сертификата
Каждое поле в результате отвечает за свой аспект сертификата. Вот что означает каждая часть и на что стоит обратить внимание.
Эмитент (название CA)
Организация, которая подписала и выпустила сертификат. Обычно это известный CA, например Let's Encrypt, DigiCert, Sectigo или GlobalSign. Если у issuer и subject совпадают CN и O, сертификат самоподписанный, и браузер покажет предупреждение.
Subject Alternative Names
Список доменов и поддоменов, для которых действителен сертификат. Для продакшена важно, чтобы там были и apex-домен, и вариант с www. Wildcard-запись (*.example.com) покрывает все поддомены первого уровня, но не apex-домен и не поддомены второго уровня.
Дата истечения и обратный отсчет
После этой даты сертификат становится недействительным. Индикатор меняется с зеленого (>30 дней) на желтый (8–30 дней) и красный (<7 дней). Сертификаты Let's Encrypt истекают каждые 90 дней, а коммерческие обычно действуют 1 год.
Версия TLS
Версия TLS, которую сервер согласовал для этого соединения. TLS 1.3 — текущий стандарт: быстрее и безопаснее. TLS 1.2 считается приемлемым минимумом. TLS 1.0 и 1.1 устарели и должны быть отключены, а SSLv3 и SSLv2 критически уязвимы.
Серийный номер
Уникальный идентификатор, который CA присваивает конкретному сертификату. Полезен для инвентаризации сертификатов, OCSP-проверок и расследования инцидентов, когда на один домен существует несколько сертификатов.
Отпечаток SHA-256
Криптографический хеш всего содержимого сертификата. Два одинаковых отпечатка означают два одинаковых сертификата. Сравнивайте отпечатки до и после ротации, чтобы убедиться, что обновление применилось, или выявить неожиданную подмену сертификата.
План действий по сроку действия сертификата
Истечение срока — самая частая причина SSL-инцидентов. Эта таблица поможет быстро понять, что делать в зависимости от того, сколько дней осталось.
| Дней до истечения срока действия | Статус | Рекомендуемое действие |
|---|---|---|
| > 30 дней | Норма | Действий не требуется. Поставьте напоминание о продлении на отметке 30 дней. |
| 8–30 дней | Предупреждение | Запустите продление уже сейчас. Большинство CA и сервисов автопродления (Let's Encrypt, Certbot) обновляют сертификат на отметке 30 дней. |
| 1–7 дней | Срочно | Немедленно обновите. Сертификат с истекшим сроком действия вызывает ошибки браузера и блокирует весь HTTPS-трафик. |
| 0 или меньше | Истек | Срок действия сертификата истек. Немедленно замените его — сайт показывает посетителям ошибки безопасности. |
Типовые ошибки SSL в Chrome, Firefox и Safari: причины и способы устранения
Ниже перечислены самые распространенные SSL-ошибки в браузерах и их значения. Сначала определите первопричину с помощью этого инструмента, затем примените нужное исправление.
Поле valid_to указывает дату в прошлом. Срок действия сертификата истек, и браузеры перестали доверять соединению.
Продлите сертификат через ваш CA или хостинг-провайдера. Проверьте, что автопродление настроено корректно; большинство CA обновляют сертификаты автоматически в последние 30 дней перед истечением срока.
Домен в адресной строке браузера отсутствует в полях CN или SAN сертификата. Такое часто случается после миграции домена, при ошибке в поддомене или если сертификат выпущен не для того домена.
Перевыпустите сертификат для правильного домена. Убедитесь, что и apex-домен (example.com), и поддомен www (www.example.com) входят в список SAN.
Сертификат выдан CA, которого нет в trust store браузера или операционной системы. Сюда относятся самоподписанные сертификаты, внутренние корпоративные сертификаты и случаи, когда в цепочке отсутствует промежуточный CA.
Установите сертификат от публично доверенного CA. Если вы используете внутренний CA, установите корневой сертификат в trust store клиента. Убедитесь, что сервер отправляет полную цепочку промежуточных сертификатов.
Сертификат был явно отозван эмитентом, обычно потому, что скомпрометирован закрытый ключ, домен сменил владельца или сертификат выпущен ошибочно.
Немедленно получите новый сертификат. Если вы не отзывали текущий сертификат сами, возможно, скомпрометирован закрытый ключ: выполните ротацию ключа, перевыпустите сертификат и расследуйте инцидент.
Сервер отвечает HTTP на HTTPS-порту либо прокси возвращает HTTP-ошибку до завершения TLS-handshake. На порт 443 приходит открытый текст вместо TLS.
Проверьте, что сервер действительно настроен обслуживать TLS на том порту, к которому вы подключаетесь. Проверьте настройки балансировщика и прокси и убедитесь, что TLS termination настроен корректно.
Клиент и сервер не могут согласовать версию TLS или набор шифров. Чаще всего это происходит, когда сервер поддерживает только TLS 1.0/1.1 (устаревшие в Chrome 84+, Firefox 74+, Safari 14+) либо использует наборы шифров, удаленные из современных браузеров.
Включите на сервере TLS 1.2 и TLS 1.3 и отключите TLS 1.0 и TLS 1.1. Обновите список наборов шифров, исключив RC4, 3DES и export-grade cipher suites. Для готовых конфигураций Nginx и Apache воспользуйтесь Mozilla TLS Configuration Generator.
Как проверить SSL-сертификат за 3 шага
Введите домен
Введите любое доменное имя, например github.com или api.example.com, в поле ввода. Инструмент автоматически убирает префикс https://. При необходимости можно указать нестандартный порт, если HTTPS-служба работает не на порту 443.
Изучите сертификат
Через несколько секунд вы увидите полный сертификат: дату окончания и обратный отсчет, цепочку издателей, статус доверия, версию протокола (TLS 1.2 или 1.3), набор шифров, SAN и отпечаток SHA-256. Никакие данные не сохраняются.
Интерпретируйте результат
Если сертификат истек, самоподписан или не совпадает с именем хоста, инструмент явно покажет проблему. Индикатор срока действия станет желтым при остатке менее 30 дней и красным при остатке менее 7 дней. Все детали можно скопировать одним нажатием.
Что показывает SSL/TLS-сертификат?
SSL/TLS-сертификат — это цифровая учетная запись сайта, которая подтверждает его подлинность и позволяет установить зашифрованное соединение. Когда вы открываете сайт по HTTPS, браузер сначала проверяет сертификат, выданный доверенным центром сертификации (CA), и только затем устанавливает защищенный канал. Без действительного сертификата браузеры показывают предупреждения и могут блокировать доступ, что напрямую влияет на доверие пользователей и позиции в поиске.
Каждый SSL-сертификат содержит 3 ключевых блока данных:
- •Subject — доменное имя (и организация для OV/EV), на которое выдан сертификат
- •Issuer — центр сертификации (CA), который подписал и выпустил сертификат
- •Период действия — точные даты начала и окончания, в течение которых сертификат считается доверенным
Что этот инструмент НЕ проверяет
Инструмент выполняет живой TLS-handshake и считывает сертификат. Он не:
- Не оценивает стойкость наборов шифров по шкале A–F — для полного TLS-аудита используйте SSL Labs
- Не проверяет заголовок HSTS и статус в preload-списке
- Не тестирует настройку OCSP stapling
- Не определяет certificate pinning (HPKP)
- Не проверяет поведение редиректа с HTTP на HTTPS
Типы SSL-сертификатов
Разные типы сертификатов дают разный уровень проверки владельца. Тип сертификата показывает, что именно проверил центр сертификации перед выпуском, а не силу шифрования.
CA подтверждает только то, что заявитель управляет доменом; юридическое лицо не проверяется. Выпуск занимает считаные минуты через автоматическую DNS- или HTTP-проверку. Подходит для блогов, личных сайтов и внутренних инструментов. В subject обычно указан только CN (доменное имя), без поля O (organization).
CA проверяет и контроль над доменом, и юридическое существование организации. Обычно это занимает 1-3 рабочих дня. В сертификате появляется название компании в поле O, поэтому посетитель может посмотреть, кто владеет ресурсом. Подходит для корпоративных сайтов и API.
Самый строгий вариант валидации: CA проверяет домен, организацию, физический адрес, юридический статус и факт операционной деятельности. Раньше такой сертификат включал зеленую адресную строку в браузере; теперь название компании отображается в сведениях о сертификате. Часто используется банками, финтех-сервисами и платформами, обрабатывающими платежи.
Покрывает корневой домен и все поддомены первого уровня по шаблону *.example.com в CN или SAN. Один wildcard-сертификат защищает www.example.com, api.example.com, cdn.example.com и другие похожие адреса. На поддомены второго уровня, например dev.api.example.com, он не распространяется; для них нужен отдельный сертификат.
Один сертификат может охватывать несколько разных доменов через расширение Subject Alternative Names. Это типовой вариант, когда под одним сертификатом работают разные продукты, например example.com, example.io и app.example.net. Большинство современных сертификатов используют SAN даже для одного домена, а значение CN дублируется в списке SAN.
Когда стоит проверять SSL-сертификат
Перед выкладкой в продакшен
Проверьте, что сертификат покрывает именно тот домен, который вы публикуете. Убедитесь, что эмитент — доверенный CA, а не самоподписанный сертификат, что SAN содержит и apex-домен, и вариант с www, и что согласованный протокол не ниже TLS 1.2, прежде чем переводить DNS на продакшен.
Контроль продления сертификатов
Проверяйте срок действия заранее. Сертификаты Let's Encrypt действуют 90 дней, и пропущенное автопродление быстро превращается в простой. Коммерческие сертификаты обычно действуют 1 год. Добавьте этот инструмент в закладки и раз в месяц проверяйте все, у чего осталось меньше 30 дней.
Аудит безопасности
Находите серверы, которые все еще используют TLS 1.0 или 1.1, слабые наборы шифров или самоподписанные сертификаты. После ротации сертификата сравните отпечаток SHA-256 с ожидаемым значением, чтобы убедиться, что не произошло MITM-подмены.
После миграции домена
После переноса домена на новый хостинг или CDN проверьте, что новый сертификат покрывает домен, эмитент соответствует ожиданиям, а SAN содержит нужный набор имен. Если сертификат остался на старом сервере и не был выпущен на новом, браузер будет показывать ошибки даже при корректном DNS.
Часто задаваемые вопросы
Сопутствующие инструменты
Проверка портов
Перед проверкой сертификата убедитесь, что порт 443 открыт и принимает подключения.
DNS-поиск
Проверьте, что A-записи DNS указывают на правильный сервер после выпуска сертификата или миграции домена.
Информация о порте
Посмотрите стандартные назначения портов и разберитесь, какие сервисы обычно работают на каких портах.