Sprawdzenie certyfikatu SSL
Podaj domenę, a sprawdzimy, do kiedy ważny jest certyfikat, kto go wystawił, czy obejmuje Twoją nazwę i czy przeglądarka rzeczywiście go zaakceptuje. Przy okazji wyłapujemy dwie rzeczy, przez które kłódka znika mimo poprawnego certyfikatu: zasoby ładowane po http i brak przekierowania na https.
Co dokładnie sprawdzamy
- Data ważności i liczba dni do wygaśnięcia
- Wystawca oraz nazwy objęte certyfikatem
- Zaufanie łańcucha: czy przeglądarka przyjmie certyfikat bez ostrzeżenia
- Dopasowanie do Twojej domeny oraz do wariantu z www
- Wersja protokołu TLS
- Wymuszenie https i zasoby ładowane po http na stronie głównej
Zasoby po http sprawdzamy na stronie głównej. Podstrona może mieć własne, których stąd nie widać.
Jak czytać wynik
Certyfikat wygasł
Przeglądarka pokazuje pełnoekranowe ostrzeżenie, którego większość odwiedzających nie ominie. Jeśli certyfikat pochodzi z darmowego wystawcy, sprawdź najpierw, czy działa automatyczne odnawianie. Zwykle to ono się zatrzymało, a nie certyfikat sam z siebie wygasł.
Certyfikat nie obejmuje tej nazwy
Najczęstsza przyczyna to certyfikat z gwiazdką. „*.mojafirma.pl" obejmuje „www.mojafirma.pl", ale nie obejmuje ani samego „mojafirma.pl", ani „sklep.dev.mojafirma.pl". Certyfikat musi wymieniać obie nazwy, których używasz.
Przeglądarka nie zaufa certyfikatowi
Certyfikat bywa ważny, a mimo to odrzucany: serwer nie dosyła pośredniego ogniwa łańcucha. Objaw jest mylący, bo na komputerze, który ten certyfikat pośredni zna, strona otwiera się normalnie, a na telefonie klienta nie.
Kłódka znika mimo ważnego certyfikatu
Strona ładuje obrazek, skrypt albo styl po http. Przeglądarka blokuje takie zasoby i odbiera kłódkę. Poprawka polega na zmianie adresów zasobów, nie certyfikatu.
Certyfikat jest, ale nic nie wymusza https
Wejście po http zostaje na http, więc formularz kontaktowy da się podsłuchać. Przekierowanie ustawia się na serwerze i zajmuje jedną regułę.
Najczęstsze przyczyny
Zatrzymane automatyczne odnawianie
Odnawianie potrafi przestać działać po zmianie serwera, przeniesieniu strony albo blokadzie katalogu kontrolnego. Awarię widać dopiero w dniu wygaśnięcia, zwykle w nocy albo w weekend.
Certyfikat na jedną nazwę
Certyfikat wystawiony wyłącznie na „mojafirma.pl" wywala ostrzeżenie każdemu, kto wpisze adres z www.
Zmiana hostingu bez przeniesienia certyfikatu
Nowy serwer podaje własny certyfikat, często domyślny certyfikat hostingu, który nie ma nic wspólnego z Twoją domeną.
Pytania i odpowiedzi
Sprawdzacie certyfikat podstron?
Certyfikat obejmuje nazwę hosta, a nie pojedyncze podstrony, więc wynik dotyczy całej domeny. Osobne subdomeny (na przykład sklep.mojafirma.pl) mają własne certyfikaty i wymagają osobnego sprawdzenia.
Co znaczy „niezaufany" przy ważnym certyfikacie?
Że łańcuch do zaufanego wystawcy jest niekompletny albo certyfikat jest samopodpisany. Przeglądarka traktuje to jak brak certyfikatu.
Czy ostrzeżecie mnie przed wygaśnięciem?
Tak, to jest w bezpłatnym pakiecie. Pilnujemy daty ważności i piszemy, zanim certyfikat wygaśnie, a nie po fakcie.
Certyfikat wygasa co trzy miesiące. To normalne?
Tak, krótkie okresy ważności są dziś standardem. Warunkiem jest działające odnawianie automatyczne. To jego awaria, a nie sam certyfikat, jest przyczyną większości wpadek.
Sprawdziłeś raz. My sprawdzamy co pięć minut.
Bezpłatny pakiet pilnuje strony głównej, certyfikatu SSL i ważności domeny. Bez karty płatniczej i bez terminu ważności.
- Puls strony co 5 minut, awarię potwierdzamy drugim sprawdzeniem
- Ostrzeżenie przed wygaśnięciem certyfikatu i domeny
- Powiadomienia e-mail bez limitu
- Statystyki z ostatnich 7 dni, jedno konto
Jak pilnujemy tego na co dzień: Monitoring dostępności ›
Pozostałe narzędzia
Czy strona działa
Sprawdź z zewnątrz, czy strona odpowiada i czy problem nie leży przypadkiem po Twojej stronie.
Ważność domeny
Kiedy wygasa domena, kto jest rejestratorem i czy ktoś może ją przenieść bez Twojej wiedzy.
SPF, DKIM i DMARC
Dlaczego maile lądują w spamie i czy ktoś może wysyłać faktury z Twojego adresu.
Nagłówki bezpieczeństwa
Osiem pozycji, które ustawia się na serwerze w kilkanaście minut, a pyta o nie każdy audyt.