Vérificateur de certificats SSL

Chaîne de certificat et validité expliquées

Comment la chaîne de certificats construit la confiance

Le serveur devrait envoyer son propre certificat (0) et l'intermédiaire (①); le client les vérifie contre une racine (②) Sans l'intermédiaire, certains navigateurs et API Les clients déclarent que le site n'a pas confiance en eux.

Fenêtre de validité et jours restant

Un certificat n'est valable qu'entre pasAvant et PasAprès. Moins de 14 jours restants sont marqués comme un avertissement (orange); 90 jours des certificats tels que Let.S chiffrent normalement renouveler avec environ 30 jours restants.

Formule et méthode

1) Résoudre le domaine et refuser les adresses privées ou réservées; 2) exécuter une poignée de mains complète TLS contre le système trust store et enregistrer la confiance, le protocole et le chiffre; 3) lire la chaîne que le serveur envoie et analyser chaque certificat X.509 (sujet, émetteur, validité, SAN, clé, signature, empreinte digitale SHA-256); 4) sonder TLS 1.3, 1.2, 1.1 et 1.0 un par un; 5) lire TVHS à partir de la réponse HTTPS et de toute réponse OCSP agrafée. Jours à gauche = pasAprès - maintenant.

Exemple de travail

Entrez xunl.net pour voir l'émetteur, les jours suivants, une chaîne de 2 à 3 niveaux, la liste SAN et le support TLS 1.3 / 1.2.

Hypothèses et limites

Seul HTTPS sur le port 443 est coché; les serveurs de messagerie (SMTP/IMAP) et les ports personnalisés ne le sont pas.
Le serveur utilise le système root store ; de très vieux appareils peuvent ne pas être d'accord.
Derrière un CDN vous voyez le certificat signifié par le bord du CDN.

Foire aux questions

Comment puis-je vérifier quand un certificat SSL expire ?

Entrez le domaine et lisez « Expire » et « Jours jusqu'à l'expiration » ; moins de 14 jours sont marqués.

Le navigateur est bien, alors pourquoi l'intermédiaire manque-t-il?

Les navigateurs peuvent cacher ou récupérer l'intermédiaire eux-mêmes, mais boucler, Java et beaucoup d'applications mobiles ne le font pas. Configurez le serveur pour envoyer la chaîne complète.

Faut-il désactiver TLS 1.0 et 1.1 ?

Oui. Le RFC 8996 déprécie officiellement TLS 1.0 et 1.1, et les principaux navigateurs les ont abandonnés.

Puis-je vérifier un hôte interne ou une adresse IP ?

Pour la sécurité, les adresses privées, locales et réservées sont refusées. Les PI publiques fonctionnent, bien que des certificats soient généralement délivrés pour les noms.

Références

SSL Certificate Checker guide pratique et questions communes

Que calcule le vérificateur de certificat SSL?

Entrez un domaine ou URL et appuyez sur Vérifier. Notre serveur se connecte au port 443 du site et lit le certificat; les résultats prennent généralement de 2 à 5 secondes. 1) Résoudre le domaine et refuser les adresses privées ou réservées; 2) exécuter une poignée de mains complète TLS contre le magasin de confiance système et enregistrer la confiance, le protocole et le chiffrement; 3) lire la chaîne que le serveur envoie et analyser chaque certificat X.509 (sujet, émetteur, validité, SAN, clé, signature, empreinte digitale SHA-256); 4) sonde TLS 1.3, 1.2, 1.1 et 1.0 un par un; 5) lire TVHS de la réponse HTTPS et toute réponse OCSP agrafée. Jours à gauche = pasAprès - maintenant.

Quand est-ce utile ?

Entrez xunl.net pour voir l'émetteur, les jours suivants, une chaîne de 2 à 3 niveaux, la liste SAN et le support TLS 1.3 / 1.2.

Comment puis-je entrer les entrées?

Entrez les entrées pour le vérificateur de certificat SSL : Domaine ou URL. Calculer, vérifier les unités et les hypothèses, puis copier ou télécharger les résultats.

Comment interpréter les résultats?

Seul HTTPS sur le port 443 est coché; les serveurs de messagerie (SMTP/IMAP) et les ports personnalisés ne le sont pas. Le serveur utilise le système root store ; de très vieux appareils peuvent ne pas être d'accord. Derrière un CDN vous voyez le certificat signifié par le bord du CDN.

Où sont traitées mes entrées ?

Le domaine est envoyé au serveur xunl.net, qui le résout et se connecte au port 443 sur le site ; les adresses privées, locales et réservées sont refusées. Les résultats sont mis en mémoire pendant 10 minutes et ne sont pas stockés dans une base de données. Pour prévenir les abus, chaque visiteur peut effectuer 8 vérifications par minute et 120 par jour.