Перевірка SSL-сертифіката
Миттєво перевіряйте SSL-сертифікат будь-якого домену — дивіться дату закінчення, видавця, статус довіри та повний ланцюжок. Безкоштовно, без реєстрації.
Як прочитати результати сертифіката SSL
Кожне поле в наборі результатів повідомляє щось інше про сертифікат. Ось що означає кожна частина інформації та на що звернути увагу.
Емітент (назва CA)
Організація, яка підписала та видала сертифікат. Має бути відомий ЦС, як-от Let's Encrypt, DigiCert, Sectigo або GlobalSign. Якщо емітент і суб’єкт мають однакові CN і O, сертифікат є самопідписаним — браузери відображатимуть попередження.
Альтернативні назви предметів
Список доменів і субдоменів, для яких дійсний цей сертифікат. Для виробництва переконайтеся, що домен apex і www присутні. Запис із символом підстановки (*.example.com) охоплює всі субдомени першого рівня, але не верхівку чи субдомени другого рівня.
Термін придатності та зворотний відлік
Дата, після якої сертифікат більше не дійсний. Смужка зворотного відліку змінюється із зеленої (>30 днів) на жовту (8–30 днів) і червону (<7 днів). Термін дії сертифікатів Let's Encrypt закінчується кожні 90 днів; комерційні сертифікати зазвичай тривають 1 рік.
Версія протоколу TLS
Версія TLS, яку ваш сервер погодив для цього з’єднання. TLS 1.3 є поточним стандартом — швидшим і безпечнішим. TLS 1.2 прийнятний. TLS 1.0 і 1.1 застаріли та повинні бути вимкнені; SSLv3 і SSLv2 критично вразливі.
Серійний номер
Унікальний ідентифікатор, призначений ЦС цьому конкретному сертифікату. Корисно для керування сертифікатами, пошуку зшивання OCSP і відстеження інцидентів, коли для одного домену існує кілька сертифікатів.
Відбиток пальця SHA-256
Криптографічний хеш повного вмісту сертифіката. Два однакові відбитки пальців означають два однакові сертифікати. Порівняйте відбитки пальців до та після ротації сертифіката, щоб підтвердити, що оновлення застосовано — або виявити неочікувану заміну сертифіката.
План дій щодо закінчення терміну дії сертифіката
Закінчення терміну дії є найпоширенішою причиною збою SSL. Скористайтеся цією таблицею, щоб дізнатися, які дії вжити залежно від кількості днів, що залишилися.
| Днів до закінчення терміну дії | Статус | Рекомендована дія |
|---|---|---|
| > 30 днів | У нормі | Ніяких дій не потрібно. Заплануйте нагадування про поновлення через 30 днів. |
| 8–30 днів | Попередження | Розпочніть оновлення зараз. Більшість ЦС і служб автоматичного поновлення (Let's Encrypt, Certbot) поновлюються через 30 днів. |
| 1–7 днів | Терміново | Відновити негайно. Прострочений сертифікат викликає помилки браузера та блокує весь трафік HTTPS. |
| 0 або негативний | Термін дії минув | Термін дії сертифіката закінчився. Негайно замініть його — ваш сайт показує помилки безпеки всім відвідувачам. |
Поширені помилки SSL у Chrome, Firefox та Safari — причини та рішення
Це найпоширеніші помилки SSL, які зустрічаються в браузерах, і значення кожної з них. Визначте першопричину за допомогою цього інструменту, а потім застосуйте цільове виправлення.
Дата дійсності сертифіката в минулому. Термін дії сертифіката закінчився, його потрібно оновити, перш ніж браузери довірятимуть з’єднанню.
Поновіть сертифікат через ваш CA або хостинг-провайдера. Переконайтеся, що автоматичне поновлення правильно налаштоване — більшість CA поновлюють автоматично протягом 30 днів до закінчення терміну дії.
Домен в адресному рядку браузера не вказано в полях CN або SAN сертифіката. Це трапляється після міграції домену, невідповідності субдоменів або сертифіката, виданого для неправильного домену.
Повторно видайте сертифікат із правильним доменом. Переконайтеся, що вершинний домен (example.com) і субдомен www (www.example.com) є в списку SAN.
Сертифікат видано центром сертифікації, якого немає в довіреному сховищі браузера чи ОС. Це включає в себе самопідписані сертифікати, внутрішні сертифікати або сертифікати, де в ланцюжку відсутній проміжний ЦС.
Встановіть сертифікат із загальнодовіреного ЦС. Якщо використовується внутрішній центр сертифікації, установіть кореневий сертифікат у надійному сховищі клієнта. Переконайтеся, що сервер надсилає повний проміжний ланцюжок.
Сертифікат був явно відкликаний центром сертифікації, який видав його — як правило, через те, що закритий ключ було зламано, домен змінив право власності або сертифікат було видано помилково.
Негайно отримати новий сертифікат. Якщо ви не відкликали його, ваш особистий ключ може бути скомпрометовано — поверніть ключ, повторно видайте сертифікат і розслідуйте викриття.
Сервер надсилає відповідь HTTP на порт HTTPS або проксі-сервер повертає помилку HTTP до завершення рукостискання TLS. Порт 443 отримує відкритий текст замість TLS.
Переконайтеся, що сервер налаштовано для обслуговування TLS на порту, до якого підключено. Перевірте балансувальник навантаження та конфігурації проксі — переконайтеся, що завершення SSL налаштовано правильно.
Клієнт і сервер не можуть домовитися про версію протоколу TLS або набір шифрів. Часто виникає, коли сервер підтримує лише TLS 1.0/1.1 (застаріло в Chrome 84+, Firefox 74+, Safari 14+), або використовує набори шифрів, видалені з сучасних браузерів.
Увімкніть TLS 1.2 і TLS 1.3 на сервері та вимкніть TLS 1.0 і TLS 1.1. Оновіть список наборів шифрів сервера, видаливши RC4, 3DES і шифри рівня експорту. Використовуйте генератор конфігурації TLS від Mozilla для готових конфігурацій Nginx і Apache.
Як перевірити SSL-сертифікат (3 кроки)
Введіть домен
Введіть будь-яке доменне ім’я, наприклад github.com або api.example.com, у поле введення. Інструмент автоматично видаляє будь-який префікс https://. Ви також можете вказати спеціальний порт, якщо служба HTTPS не працює на стандартному порту 443.
Перегляньте Сертифікат
За кілька секунд ви побачите повний сертифікат: дата закінчення та зворотний відлік, ланцюжок видавця, статус довіри, версія протоколу (TLS 1.2 або 1.3), набір шифрів, SAN та відбиток SHA-256. Дані не зберігаються.
Прочитайте результати
Якщо сертифікат закінчився, є самопідписаним або є невідповідність імені хоста, результат чітко позначить проблему. Рядок закінчення стає жовтим протягом 30 днів і червоним протягом 7 днів. Скопіюйте всі деталі одним кліком.
Що розповідає вам SSL-сертифікат?
Сертифікат SSL/TLS — це цифрові облікові дані, які підтверджують автентичність веб-сайту та забезпечують зашифроване з’єднання. Коли ви відвідуєте сайт через HTTPS, ваш веб-переглядач перевіряє сертифікат сайту, виданий надійним центром сертифікації (CA), перш ніж установлювати зашифрований канал. Без дійсного сертифіката браузери відображають попередження про безпеку та блокують доступ, що безпосередньо впливає на довіру користувачів і рейтинги в результатах пошуку.
Кожен SSL-сертифікат містить 3 ключові фрагменти інформації:
- •Суб'єкт — доменне ім'я (та організація для OV/EV), для якого виданий сертифікат
- •Видавець — Центр сертифікації (CA), який підписав та перевірив сертифікат
- •Термін дії — точні дати початку та закінчення, протягом яких сертифікат є довіреним
Що цей інструмент НЕ перевіряє
Цей інструмент виконує живе TLS-рукостискання та читає сертифікат. Він не:
- Оцінює надійність набору шифрів (A–F) — використовуйте SSL Labs для повного аудиту TLS
- Перевіряє заголовок HSTS або статус у списку попередньо завантажених
- Тестує конфігурацію OCSP stapling
- Виявляє прив'язку сертифікату (HPKP)
- Перевіряє поведінку перенаправлення з HTTP на HTTPS
Типи сертифікатів SSL
Різні типи сертифікатів пропонують різні рівні перевірки особи. Тип визначає, що емітент перевірив перед підписанням, а не міцність шифрування.
Центр сертифікації перевіряє лише те, що заявник контролює домен, а ідентифікаційні дані компанії не перевіряються. Видається за лічені хвилини через автоматизований виклик DNS або HTTP. Підходить для блогів, особистих сайтів і внутрішніх інструментів. У темі відображатиметься лише CN (доменне ім’я) без поля O (організація).
Центр сертифікації перевіряє контроль домену та законне існування організації. Займає 1–3 робочих дні. Сертифікат містить назву компанії в полі O — відвідувачі можуть переглянути сертифікат і побачити, хто ним володіє. Рекомендовано для бізнес-сайтів і API.
Найсуворіша перевірка — ЦС перевіряє домен, організацію, фізичну адресу, юридичний статус і робоче існування. Раніше спрацьовував зелений адресний рядок у браузерах. Тепер відображає назву компанії в деталях сертифіката. Вимагається фінансовими установами та платформами електронної комерції, які обробляють платіжні дані.
Охоплює кореневий домен і всі субдомени першого рівня за допомогою шаблону *.example.com у CN або SAN. Один сертифікат підстановки захищає www.example.com, api.example.com, cdn.example.com тощо. Не поширюється на субдомени другого рівня, такі як dev.api.example.com — для них потрібен окремий сертифікат.
Один сертифікат може покривати кілька різних доменів через розширення Subject Alternative Names. Загальне для розміщення кількох продуктів під одним сертифікатом — напр. example.com, example.io та app.example.net. Більшість сучасних сертифікатів використовують SAN навіть для окремих доменів із віддзеркаленням CN у списку SAN.
Коли перевіряти SSL-сертифікат
Перед розгортанням
Переконайтеся, що сертифікат охоплює саме домен, який розгортається. Переконайтеся, що емітент є довіреним центром сертифікації (не самопідписаним), мережі SAN включають варіанти www і apex, а протокол – TLS 1.2 або вище, перш ніж спрямовувати DNS на виробництво.
Моніторинг відновлення сертифікатів
Завчасно перевіряйте терміни придатності. Термін дії сертифікатів Let's Encrypt закінчується кожні 90 днів — пропущене автоматичне оновлення спричиняє збій. Комерційні сертифікати зазвичай діють 1 рік. Додайте цей інструмент у закладки та перевіряйте щомісяця все, що менше 30 днів.
Аудит безпеки
Визначте сервери, які все ще використовують TLS 1.0 або 1.1, слабкі набори шифрів або самопідписані сертифікати. Перехресно перевірте відбиток SHA-256 на очікуване значення після ротації сертифіката, щоб підтвердити відсутність підміни MITM.
Після міграції домену
Після переміщення домену на новий хост або CDN переконайтеся, що новий сертифікат охоплює домен, емітент правильний і мережі SAN відповідають очікуваному набору. Сертифікат, залишений на старому сервері та не наданий на новому, викликає помилки браузера, навіть якщо DNS правильний.
Часті запитання
Пов'язані інструменти
Перевірка портів
Перш ніж перевіряти сертифікат, перевірте, чи відкритий порт 443 і чи приймає підключення.
DNS-пошук
Перевірте, чи записи DNS A вказують на правильний сервер після розгортання сертифіката або міграції домену.
Port Info
Знайдіть стандартні призначення портів і зрозумійте, які служби працюють на яких портах.