HTTPS asetustarkistus
Catch deprecated protocol versiot, puuttuu HSTS ja rikki HTTP ohjaa ennen compliance skannaus tai asiakas tekee.
Toiminta
- Yksi validoimaton kädenpuristus protokollaversiota kohti (TLS 1.0, 1.1, 1.2, 1.3) tallentaa sen, mitä palvelin hyväksyy; nämä diagnostiset kädenpuristukset eivät koskaan vaikuta monitoriin.
- Erillinen validoitu kädenpuristus päättää, luottaako varmenne julkiseen juurikauppaan.
- GET HTTPS URL lukee Strict-Transport-Security; GET samalle polulle paapuurissa 80 kirjaa sen suunnan HTTPS.
- HTTP/2 tukea saa ALPN neuvottelusta, ei täydestä HTTP/2 pyynnöstä.
Raja-arvot
- Cipher sviitti vahvuus, OCSP stapling, sertifikaatin läpinäkyvyys ja avainkoot ei ole luokiteltu.
- Tarkastuksia suoritetaan vain ensimmäistä ratkaistua osoitetta vastaan; kuorma tasapainotetut altaat voivat vaihdella solmukohtaisesti.
- HTTP:n uudelleenohjaustesti suoritetaan vain standardiportille 443.
- Kun todistus on epäluotettava, HTTPS-pyyntö hylätään suunnittelusta, joten HSTS ilmoitetaan pikemminkin lukukelvottomana kuin arvattuna.
Vianmääritys
- TLS 1.0 tai 1.1 hyväksytty
- Poista ne verkkopalvelimen tai kuorman tasapainottajan konfiguraatiosta (esimerkiksi ssl_protocols TLSv1.2 TLSv1.3 nginx). Molemmat poistetaan RFC 8996.
- HSTS puuttuu
- Lisätään Strict-Transport-Security: max-age=31536000; includeSubDomains jokaisessa subdomainissa palvelee HTTPS. Aloita lyhyellä max-age: llä, jos olet epävarma.
- Plain HTTP palvelee sisältöä
- Palauta 301 kohtaan HTTPS URL jokaisesta satamasta 80 tehdystä pyynnöstä; muuten käyttäjä, joka kirjoittaa isäntänimen, oleskele HTTP.