HTTPS konfigurationskontrol
Fange forældet protokol versioner, mangler HSTS og brudt HTTP omdirigerer før en compliance scan eller en kunde gør.
Hvordan den måler
- Et ugyldigt håndtryk pr. protokolversion (TLS 1.0, 1.1, 1.2, 1.3) registrerer, hvad serveren accepterer; disse diagnostiske håndtryk påvirker aldrig nogen skærm.
- Et separat valideret håndtryk afgør, om certifikatet er betroet af en offentlig rodbutik.
- En GET til HTTPS URL lyder Strict-Transport-Security; en GET til samme vej på havn 80 registrerer, om det omdirigerer til HTTPS.
- HTTP / 2 støtte er læst fra ALPN forhandling, ikke fra en fuld HTTP / 2 anmodning.
Grænseværdier
- Cipher suite styrke, OCSP hæftning, certifikat gennemsigtighed og nøglestørrelser er ikke sorteret.
- Kontrol kører mod den første løst adresse; load- balanceret puljer kan variere per node.
- HTTP redirect test kører kun for standard port 443.
- Når certifikatet ikke er betroet HTTPS anmodning afvises af design, så HSTS er rapporteret som ulæselig snarere end gættet.
Fejlfinding
- TLS 1.0 eller 1.1 accepteret
- Deaktivér dem i webserveren eller indlæs balancer konfiguration (for eksempel ssl_protocols TLSv1.2 TLSv1.3 i nginx). Begge er forældet af RFC 8996.
- HSTS mangler
- Tilføj Strict-Transport-Security: max-age = 31536000; includeSubDomains når hvert underdomæne tjener HTTPS. Start med en kort max-age hvis usikker.
- Plain HTTP serverer indhold
- Returnerer en 301 til HTTPS URL for hver anmodning på port 80; ellers brugere, der skriver værtsnavnet ophold på HTTP.