Fórmula y método
1) Se resuelve el dominio y se rechazan direcciones privadas o reservadas; 2) saludo TLS completo con el almacén de confianza del sistema (confianza, protocolo, cifrado); 3) se lee la cadena enviada y se analiza cada certificado X.509 (sujeto, emisor, validez, SAN, clave, firma, huella SHA-256); 4) se prueban TLS 1.3, 1.2, 1.1 y 1.0; 5) se lee HSTS de la respuesta HTTPS y la respuesta OCSP grapada. Días restantes = notAfter − ahora.
Ejemplo de cálculo
Introduce xunl.net para ver el emisor, los días restantes, una cadena de 2–3 niveles, los SAN y el soporte TLS 1.3 / 1.2.
Supuestos y límites
- Solo se comprueba HTTPS en el puerto 443; no servidores de correo ni puertos personalizados.
- «De confianza» usa el almacén raíz del sistema del servidor; dispositivos muy antiguos pueden diferir.
- Detrás de una CDN se ve el certificado del nodo de la CDN.
Preguntas frecuentes
¿Cómo sé cuándo caduca un certificado SSL?
Introduce el dominio y mira «Caduca» y «Días hasta la caducidad»; menos de 14 días se marca.
El navegador funciona, ¿por qué falta el intermedio?
Los navegadores pueden guardar o descargar el intermedio, pero curl, Java o muchas apps no. Configura el servidor para enviar la cadena completa.
¿Hay que desactivar TLS 1.0 y 1.1?
Sí. El RFC 8996 los declara obsoletos y los navegadores principales ya no los admiten.
¿Puedo comprobar un host interno o una IP?
Por seguridad se rechazan direcciones privadas, locales y reservadas. Las IP públicas funcionan, aunque los certificados suelen emitirse para nombres.