HTTPS 設定チェッカー
パッチ非推奨のプロトコルバージョン、HSTS を欠落させ、HTTP がリダイレクトされるため、コンプライアンススキャンや顧客が実行されます。
対策方法
- プロトコルバージョン(TLS 1.0、1.1、1.2、1.3)ごとの1つの無効なハンドシェイクは、サーバーが受け入れるものを記録します。 これらの診断ハンドシェイクは、任意のモニターに影響を与えません。
- 別々の検証済みハンドシェイクは、証明書が公開ルートストアによって信頼されるかどうかを決定します。
- HTTPS URLへのGETはStrict-Transport-Securityを読みました。 GETはHTTPSにリダイレクトするかどうか、ポート80と同じパスに記録します。
- HTTP/2 サポートは完全なHTTP/2要求からのALPN交渉から、読まれます。
制限事項
- Cipherスイートの強さ、OCSP は、証明書および透明物およびキーのサイズを等級別にしません。
- 最初の解決されたアドレスに対してのみ実行するチェック。ロードバランスの取れたプールはノードごとに異なる場合があります。
- HTTP リダイレクトテストは標準ポート443のみを実行します。
- 証明書が設計でHTTPSリクエストが拒否されると判断されるため、HSTSは推測するのではなく未読に報告されます。
トラブルシューティング
- TLS 1.0 か 1.1 受け入れられる
- ウェブサーバやバランサの設定(nginx の ssl_protocols TLSv1.2 TLSv1.3 など) で無効化できます。 両方ともRFC 8996によって非推奨されます。
- HSTS 行方不明
- 追加 Strict-Transport-Security: max-age=31536000; includeSubDomains 一度すべてのサブドメインがHTTPSを果たします。 不明な場合は、ショートmax-ageで起動します。
- Plain HTTPはコンテンツを提供しています
- ポート80のすべての要求に対して301をHTTPS URLに戻します。 それ以外の場合は、ホスト名がHTTPに滞在するユーザー。