HTTPS konfigurasjonskontroll
Fange utdaterte protokollversjoner, mangler HSTS og ødelagt HTTP omdirigerer før en samsvarsskanning eller en kunde gjør.
Hvordan det måles
- Ett uvalidert håndtrykk per protokollversjon (TLS 1.0, 1.1, 1.2, 1.3) registrerer hva serveren aksepterer; disse diagnostiske håndtrykkene påvirker aldri noen skjerm.
- Et separat validert håndtrykk avgjør om sertifikatet er betrodd av en offentlig rotbutikk.
- A GET til HTTPS URL leser Strict-Transport-Security; en GET til samme bane på port 80 poster om den omdirigerer til HTTPS.
- HTTP/2 støtte leses fra ALPN forhandlinger, ikke fra en full HTTP/2 anmodning.
Grenser
- Cipher suite styrke, OCSP trapping, sertifikat åpenhet og nøkkel størrelser er ikke gradert.
- Sjekker kjører mot den første løste adressen; lastbalanserte bassenger kan variere per node.
- HTTP omdirigeringstesten kjører kun for standardporten 443.
- Når sertifikatet er upålitelig HTTPS-forespørselen avvises ved design, er HSTS rapportert som uleselig i stedet for gjettet.
Feilsøking
- TLS 1.0 eller 1.1 akseptert
- Deaktiver dem i webserveren eller lastbalansatorkonfigurasjonen (f.eks. ssl_protocols TLSv1.2 TLSv1.3 i nginx). Begge er foreldet med RFC 8996.
- HSTS mangler
- Legg til Strict-Transport-Security: max-age=31536000; includeSubDomains én gang hver underdomene tjener HTTPS. Start med en kort max-age hvis usikker.
- Plain HTTP serverer innhold
- Returner en 301 til HTTPS URL for hver forespørsel på port 80; ellers brukere som skriver vertsnavnet opphold på HTTP.