Verificator de configurare HTTPS

Prinde versiuni de protocol depreciate, lipsește HSTS și rupt HTTP redirecționări înainte de o scanare de conformitate sau un client nu.

Cum se masoara

O strângere de mână nevalidată per versiune protocol (TLS 1.0, 1.1, 1.2, 1.3) înregistrează ceea ce serverul acceptă; aceste strângeri de mână de diagnosticare nu influențează niciodată nici un monitor.
O strângere de mână separată validată decide dacă certificatul este de încredere de către un magazin de rădăcini publice.
Un GET la HTTPS URL citește Strict-Transport-Security; un GET la aceeași cale pe portul 80 înregistrări dacă redirecționează la HTTPS.
HTTP/2 de sprijin este citit de la ALPN negociere, nu de la o cerere completă HTTP/2.

Puterea suitei de cifru, OCSP stapling, transparența certificatului și dimensiunile cheii nu sunt clasificate.
Controalele se execută numai împotriva primei adrese rezolvate; bazinele cu echilibru de sarcină pot diferi pe nod.
Testul de redirecționare HTTP rulează numai pentru portul standard 443.
Atunci când certificatul nu are încredere în cererea HTTPS este refuzată prin proiectare, astfel încât HSTS este raportat ca fiind mai degrabă necitit decât ghicit.

TLS 1.0 sau 1.1 acceptate: Dezactivează-le în configuraţia serverului web sau a balanţei de sarcină (de exemplu ssl_protocols TLSv1.2 TLSv1.3 în nginx). Ambele sunt depreciate de RFC 8996.
HSTS lipsă: Se adaugă Strict-Transport-Security: max-age=31536000; includeSubDomains odată ce fiecare subdomeniu servește HTTPS. Începeţi cu un max-age scurt dacă nu sunteţi sigur.
Plain HTTP servește conținut: Returnați un 301 la HTTPS URL pentru fiecare cerere la portul 80; în caz contrar, utilizatorii care tastați numele de gazdă sejur pe HTTP.