HTTPS Vérificateur de configuration

Capturer les versions de protocole dépréciées, manquantes HSTS et cassées HTTP redirige avant une analyse de conformité ou un client.

Les mesures à prendre

Une poignée de main non validée par protocole (TLS 1.0, 1.1, 1.2, 1.3) enregistre ce que le serveur accepte ; ces poignées de main diagnostiques n'influencent jamais aucun moniteur.
Une poignée de main validée séparée décide si le certificat est fiable par un magasin de racine public.
Un GET au HTTPS URL lit Strict-Transport-Security; un GET au même chemin sur le port 80 indique s'il redirige vers HTTPS.
HTTP/2 le soutien est lu à partir de la négociation ALPN, pas d'une demande complète HTTP/2.

La résistance de la suite de chiffrement, l'agrafage OCSP, la transparence des certificats et les tailles des clés ne sont pas notées.
Les vérifications sont effectuées uniquement contre la première adresse résolue; les pools équilibrés par charge peuvent différer par noeud.
Le test de redirection HTTP ne fonctionne que pour le port standard 443.
Lorsque le certificat n'est pas fiable, la demande HTTPS est refusée par dessin, donc HSTS est déclaré illisible plutôt que deviné.

TLS 1.0 ou 1.1 acceptés: Désactivez-les dans la configuration du serveur web ou de l'équilibreur de charge (par exemple ssl_protocols TLSv1.2 TLSv1.3 en nginx). Les deux sont dépréciés par RFC 8996.
HSTS manquant: Ajouter Strict-Transport-Security: max-age=31536000; includeSubDomains une fois que chaque sous-domaine dessert HTTPS. Commencez par un court max-age en cas de doute.
HTTP services contenus: Retourner un 301 au HTTPS URL pour chaque demande sur le port 80; sinon les utilisateurs qui tapent le nom d'hôte restent sur HTTP.