HTTPS 配置检查器
抓取已贬值的协议版本,丢失HSTS,破碎的HTTP在合规扫描或客户完成之前重新定向.
如何衡量
- 每个协议版本(TLS 1.0 1.1 1.2 1.3)有一个未验证的握手记录服务器接受的内容;这些诊断握手从未影响任何显示器.
- 单独验证的握手决定证书是否为公共根店所信任.
- HTTPS型URL号机车的GET改为Strict-Transport-Security型机车;GET型机车在80号机车端口的相同航道记录是否转向HTTPS.
- HTTP/2支持来自ALPN谈判,而不是完全HTTP/2请求.
限制
- Cipher套件强度,OCSP stapling,证书透明度和密钥尺寸没有分级.
- 仅对照第一个解析地址进行检查;负载平衡池每个节点可能有所不同.
- HTTP重定向试验只为标准端口443运行.
- 当证书不可信时,HTTPS请求被设计拒绝,因此HSTS被报告为不可读,而不是猜测.
解决问题
- TLS 1.0或1.1 已接受
- 在网络服务器或负载平衡器配置中禁用它们(例如nginx中的ssl_protocols TLSv1.2 TLSv1.3). 两者均以RFC 8996贬值.
- 失踪HSTS人
- 加上Strict-Transport-Security:max-age=31536000;includeSubDomains 一旦每个子域服务HTTPS. 如果不确定的话,从短max-age开始.
- Plain HTTP 服务内容
- 将301号机返回HTTPSURL号机在80号端口的每个请求;否则输入主机名的用户会在HTTP号端停留.