HTTPS Konfigurationsprüfung

Fangen Sie veraltete Protokollversionen, fehlende HSTS und defekte HTTP Redirects vor einem Compliance-Scan oder einem Kunden.

Wie es misst

Ein unvalidierter Handshake pro Protokollversion (TLS 1.0, 1.1, 1.2, 1.3) zeichnet auf, was der Server akzeptiert; diese diagnostischen Handshake beeinflussen niemals einen Monitor.
Ein separater validierter Handshake entscheidet, ob das Zertifikat von einem öffentlichen Root-Store vertrauenswürdig ist.
Ein GET zum HTTPS URL liest Strict-Transport-Security; ein GET zum gleichen Pfad auf Port 80 zeichnet auf, ob er zu HTTPS umleitet.
HTTP/2 Unterstützung wird aus ALPN Verhandlungen gelesen, nicht aus einer vollständigen HTTP/2 Anfrage.

Cipher Suite Stärke, OCSP Heften, Zertifikat Transparenz und Schlüsselgrößen sind nicht bewertet.
Checks laufen nur gegen die erste aufgelöste Adresse; Load-Balanced Pools können pro Knoten unterschiedlich sein.
Der HTTP-Redirect-Test läuft nur für den Standard-Port 443.
Wenn das Zertifikat nicht vertrauenswürdig ist, wird die HTTPS-Anforderung vom Design abgelehnt, so dass HSTS als unlesbar und nicht als vermutet gemeldet wird.

TLS 1.0 oder 1.1 akzeptiert: Deaktivieren Sie sie in der Webserver- oder Load Balancer-Konfiguration (z. B. ssl_protocols TLSv1.2 TLSv1.3 in nginx). Beide werden von RFC 8996 abgeschrieben.
HSTS fehlt: Add Strict-Transport-Security: max-age=31536000; includeSubDomains einmal jede Subdomain dient HTTPS. Beginnen Sie mit einem kurzen max-age, wenn unsicher.
Plain HTTP bedient Inhalte: Geben Sie für jede Anfrage am Port 80 einen 301 an den HTTPS URL zurück; ansonsten bleiben Benutzer, die den Hostnamen eingeben, auf HTTP.