Έλεγχος διαμόρφωσης HTTPS

Πιάσε ξεπερασμένες εκδόσεις πρωτοκόλλου, λείπει HSTS και έσπασε HTTP ανακατευθύνει πριν από μια σάρωση συμμόρφωσης ή ένας πελάτης κάνει.

Πώς μετρά

Μια μη έγκυρη χειραψία ανά έκδοση πρωτοκόλλου (TLS 1.0, 1.1, 1.2, 1.3) καταγράφει τι δέχεται ο διακομιστής· αυτές οι διαγνωστικές χειραψίες δεν επηρεάζουν ποτέ καμία οθόνη.
Μια ξεχωριστή επικυρωμένη χειραψία αποφασίζει αν το πιστοποιητικό είναι αξιόπιστο από ένα δημόσιο ριζοκατάστημα.
Το GET προς το HTTPS URL λέει Strict-Transport-Security· το GET προς το ίδιο μονοπάτι στο λιμάνι 80 καταγράφει αν ανακατευθύνει στο HTTPS.
HTTP/2 υποστήριξη διαβάζεται από τις ALPN διαπραγματεύσεις, όχι από ένα πλήρες αίτημα HTTP/2.

Ισχύς σουίτας, OCSP stapling, διαφάνεια πιστοποιητικών και μεγέθη κλειδιών δεν βαθμολογούνται.
Έλεγχοι τρέχουν μόνο ενάντια στην πρώτη διεύθυνση που έχει επιλυθεί.
Η δοκιμή επαναπροσανατολισμού HTTP εκτελείται μόνο για τον τυποποιημένο λιμένα 443.
Όταν το πιστοποιητικό δεν είναι έμπιστο το αίτημα HTTPS απορρίπτεται από το σχεδιασμό, έτσι HSTS αναφέρεται ως μη αναγνώσιμο και όχι μαντεμένο.

TLS 1.0 ή 1.1 αποδεκτές: Απενεργοποίηση τους στο web server ή τις ρυθμίσεις εξισορρόπησης φορτίου (για παράδειγμα ssl_protocols TLSv1.2 TLSv1.3 in nginx). Και οι δύο απαξιώνονται από την RFC 8996.
HSTS αγνοείται.: Προσθέστε Strict-Transport-Security: max-age=31536000; includeSubDomains μία φορά κάθε subdomain εξυπηρετεί HTTPS. Ξεκινήστε με ένα σύντομο max-age αν δεν είστε σίγουροι.
Απλό HTTP εξυπηρετεί το περιεχόμενο: Επιστρέψτε ένα 301 στο HTTPS URL για κάθε αίτημα στο λιμάνι 80, διαφορετικά οι χρήστες που πληκτρολογούν το όνομα υποδοχής παραμένουν στο HTTP.