HTTPS проверка конфигурации

Поймайте устаревшие версии протокола, пропущенные HSTS и сломанные перенаправления HTTP перед сканированием соответствия или клиентом.

Как он измеряет

Одно непроверенное рукопожатие в версии протокола (TLS 1.0, 1.1, 1.2, 1.3) записывает то, что принимает сервер; эти диагностические рукопожатия никогда не влияют на какой-либо монитор.
Отдельное проверенное рукопожатие решает, доверяет ли сертификат публичному корневому магазину.
GET на HTTPS URL читает Strict-Transport-Security; GET на тот же путь на порту 80 записывает, перенаправляется ли он на HTTPS.
Поддержка HTTP/2 зачитывается из переговоров ALPN, а не из полного запроса HTTP/2.

Прочность шифра, OCSP скобки, прозрачность сертификата и размеры ключей не оцениваются.
Проверки выполняются только по первому разрешенному адресу; сбалансированные пулы могут отличаться в зависимости от узла.
Тест перенаправления HTTP выполняется только для стандартного порта 443.
Когда сертификат не доверен, запрос HTTPS отклоняется по дизайну, поэтому HSTS сообщается как нечитаемый, а не угадываемый.

TLS 1.0 или 1.1 принимается: Отключить их в конфигурации веб-сервера или балансировщика нагрузки (например, ssl_protocols TLSv1.2 TLSv1.3 в nginx). Оба они обесценены RFC 8996.
HSTS пропал без вести: Добавить Strict-Transport-Security: max-age=31536000; includeSubDomains один раз каждый поддомен обслуживает HTTPS. Начните с короткого max-age, если не уверены.
Plain HTTP предоставляет контент: Верните 301 в HTTPS URL для каждого запроса на порт 80; в противном случае пользователи, которые вводят имя хоста, остаются на HTTP.