Sprawdzanie certyfikatu TLS
Połów wygasające lub źle skonfigurowane certyfikaty, zanim przeglądarki zaczną ostrzegać odwiedzających.
Jak mierzy
- Potwierdzony uścisk dłoni TLS z SNI ustawiony na nazwę hosta decyduje, czy certyfikat jest zaufany.
- Jeśli walidacja się nie powiedzie, drugi diagnostyczny uścisk dłoni uchwyci przedstawiony certyfikat, dzięki czemu można zobaczyć dlaczego, nie zaznaczając go nigdy jako ważny.
- Pozostałe dni oblicza się na podstawie wartości notAfter certyfikatu w stosunku do aktualnego czasu (UTC).
Granice
- Obsługiwane są tylko dorozumiane porty TLS; nie przeprowadza się negocjacji STARTTLS.
- Zaufanie jest oceniane w stosunku do publicznego sklepu podstawowego hosta kontroli; prywatne CA pokazują jako niezaufane.
- Jeden czek z jednej lokalizacji; niektóre serwery przedstawiają różne certyfikaty na region lub klienta.
Rozwiązywanie problemów
- Niedopasowanie nazwy komputera
- Nazwy certyfikatu nie zawierają nazwy komputera, z którą się połączyłeś. Dodaj nazwę jako SAN lub wskaż nazwę hosta we właściwym serwerze.
- Niezaufany łańcuch
- Prawdopodobnie brakuje świadectwa pośredniego. Podawać cały łańcuch, nie tylko liść.
- Wygasłe
- Odnowić certyfikat. Automatyzacja odnowy i monitorowania wygaśnięcia, więc nie powtarza się.