HTTPS kontrola konfigurace

Chytit deprimované verze protokolu, chybí HSTS a rozbité HTTP přesměruje před scan shody nebo zákazník dělá.

Jak opatření

Jeden neověřený handshake na verzi protokolu (TLS 1.0, 1.1, 1.2, 1.3) zaznamenává, co server přijímá; tyto diagnostické handshake nikdy neovlivní žádný monitor.
O tom, zda je certifikát důvěryhodný veřejným prodejcem kořenů, rozhoduje samostatné ověřené podání ruky.
A GET naHTTPSURL čteStrict-Transport-Security; aGET na stejnou cestu na přístavu80 záznamy, zda se přesměruje naHTTPS.
HTTP / 2 podpora je přečtena z ALPN jednání, ne z plné HTTP / 2 žádost.

Cipher suite pevnost, OCSP sešívání, průhlednost certifikátů a klíčové velikosti nejsou hodnoceny.
Kontroly běží pouze proti první vyřešené adrese; načítání-vyvážené bazény se mohou lišit na uzel.
Přesměrovací testHTTP běží pouze pro standardní port443.
Je-li certifikát nedůvěryhodný, žádost HTTPS je zamítnuta designem, takže HSTS se vykazuje jako nečitelný spíše než uhodl.

TLS 1.0 nebo 1.1 přijato: Vypněte je na webovém serveru nebo na konfiguraci balanceru (např. ssl_protocols TLSv1.2 TLSv1.3 v nginx). Obojí je označeno jakoRFC8996.
HSTS chybí: Přidat Strict-Transport-Security:max-age =31536000;includeSubDomains jednou za subdoménu sloužíHTTPS. Začněte krátkým max-age, pokud si nejste jisti.
Plain HTTP slouží obsahu: Návrat 301 naHTTPSURL za každou žádost na portu80; jinak uživatelé, kteří typu hostitelské jméno zůstat naHTTP.