HTTPS configuratiecontrole

Vang verouderde protocol versies, ontbreken HSTS en gebroken HTTP omleidingen voordat een compliance scan of een klant doet.

Hoe het meet

Een ongeldige handdruk per protocolversie (TLS 1.0, 1.1, 1.2, 1.3) registreert wat de server accepteert; deze kenmerkende handshakes beïnvloeden nooit een monitor.
Een afzonderlijke gevalideerde handdruk bepaalt of het certificaat wordt vertrouwd door een publieke root store.
Een GET naar de HTTPS URL leest Strict-Transport-Security; een GET naar hetzelfde pad op poort 80 registreert of het omleidt naar HTTPS.
HTTP/2 steun wordt gelezen uit ALPN onderhandelingen, niet uit een volledig verzoek van HTTP/2.

Cipher suite sterkte, OCSP niet-opnemen, certificaat transparantie en sleutelmaten zijn niet gegradeerd.
Controles worden alleen uitgevoerd op het eerste opgelost adres; de pools kunnen per knoop verschillen.
De HTTP redirect test loopt alleen voor de standaard poort 443.
Wanneer het certificaat niet wordt vertrouwd wordt het HTTPS verzoek geweigerd door ontwerp, zodat HSTS wordt gerapporteerd als onleesbaar in plaats van geraden.

TLS 1.0 of 1.1 aanvaard: Schakel ze uit in de configuratie van de webserver of load balancer (bijvoorbeeld ssl_protocols TLSv1.2 TLSv1.3 in nginx). Beide zijn verouderd door RFC 8996.
HSTS ontbreekt: Voeg Strict-Transport-Security: max-age=31536000 toe; includeSubDomains elk subdomein dient HTTPS. Begin met een korte max-age indien onzeker.
Plain HTTP serveert inhoud: Geef een 301 terug naar de HTTPS URL voor elke aanvraag op poort 80; anders blijven gebruikers die de hostnaam typen op HTTP.