HTTPS konfigurationskontroll

Fånga avskrivna protokollversioner, saknas HSTS och brutna HTTP omdirigeringar innan en efterlevnadsskanning eller en kund gör.

Hur det mäter

En ovaliderad handskakning per protokollversion (TLS 1.0, 1.1, 1.2, 1.3) registrerar vad servern accepterar; dessa diagnostiska handskakar påverkar aldrig någon bildskärm.
En separat validerad handskakning bestämmer om certifikatet är betrodd av en offentlig rotbutik.
En GET till HTTPS URL läser Strict-Transport-Security; en GET till samma väg på port 80 poster omdirigerar till HTTPS.
HTTP/2 stöd läses från ALPN förhandlingar, inte från en fullständig begäran om HTTP/2.

Cipher svitstyrka, OCSP stapling, certifikattransparens och nyckelstorlekar betygsätts inte.
Kontroller körs mot den första lösta adressen endast; lastbalanserade pooler kan skilja sig per nod.
HTTP omdirigeringstestet körs endast för standardporten 443.
När certifikatet inte har anförtrotts HTTPS-förfrågan nekas av design, rapporteras HSTS som oläslig snarare än gissat.

TLS 1.0 eller 1.1 accepterad: Inaktivera dem i webbservern eller lastbalanskonfigurationen (t.ex. ssl_protocols TLSv1.2 TLSv1.3 i nginx). Båda depreceras av RFC 8996.
HSTS saknas: Lägg till Strict-Transport-Security: max-age=31536000; includeSubDomains när varje underdomän tjänar HTTPS. Börja med en kort max-age om du är osäker.
HTTP serverar innehåll: Returnera en 301 till HTTPS URL för varje förfrågan på port 80, annars stannar användare som skriver värdnamnet på HTTP.