Recherche SSL
Que montre la recherche SSL
Saisissez un nom d'hôte (et habituellement le port 443 est implicite) pour récupérer le certificat public X.509 que le serveur présente pour HTTPS. Vous pouvez lire le nom commun du sujet, les noms alternatifs du sujet (SAN) qui énumèrent chaque nom d'hôte couvert par le certificat, l'émission de CA, l'algorithme de signature, la série, la fenêtre de validité et parfois les détails de l'organisation. C'est le même matériel que les navigateurs utilisent pour décider s'il faut afficher un cadenas, exprimé en champs structurés afin que vous puissiez repérer un nom d'inadéquationavantun utilisateur capture un interstitiel effrayant.
Quand l'utiliser
Utilisez-le quand un site lanceNET::ERR_CERT_COMMON_NAME_INVALID, une application mobile épingle le mauvais spki , un microsite marketing sert toujours l'ancienne carte sauvage , ou une table SNI d'équilibreur de charge est mal donc seulement quelques chemins se brisent . Il est également utile dans les examens de sécurité des fournisseurs: confirmer qu'un partenaire présente vraiment une chaîne publique moderne, pas un certificat autosigné de 2012. Suivre avecRecherche d'en-têtes HTTPpour laRecherche DNSpour s'assurer que l'AAAA que vous attendez est ce à quoi les clients TLS se connectent.
Exemple travaillé
Vous obtenez un rapport quehttps://shop.example.comest méfiant. Lookup SSL surshop.example.compourrait montrer que le certificat n'est valide que pourwww.example.comet l'apex, pendant que l'hôte du magasin est absent de SAN. Correction : réémet un certificat qui énumèreshop.example.comou CNAME l'hôte derrière un nom déjà sur le certificat. La sortie de l'outil vous donne la liste exacte de chaînes à remettre à celui qui commande des certificats.
Foire aux questions
Pourquoi le site fonctionne dans mon navigateur mais échoue ici?
Vous pouvez être sur un chemin de réseau différent, un ancien état cache, ou le serveur retourne différents certificats par SNI. Essayez le type exact d'utilisateurs hostname, y compris ou à l'exclusionwwwle cas échéant.
Un certificat expiré est-il le seul drapeau rouge ?
C'est pas vrai. Vérifiez les algorithmes de signature faible, les clés courtes RSA, les intermédiaires de chaîne manquants, et si le certificat de feuille correspond à votre politique CAA dansRecherche DNS.
Est-ce que cela effectue un scan complet de style SSL Labs?
Cette page se concentre sur l'objet du certificat. Les suites de chiffrement protocole, l'agrafage OCSP et le TVHS sont mieux lus à partir des en-têtes de réponse et des scanners dédiés, mais vous pouvez commencer ici pour l'histoire de l'ancre de confiance.
Puis-je vérifier SMTP STARTTLS?
Cela nécessite de se connecter au port de courrier avec un comportement différent STARTTLS. Cet outil est orienté vers les noms d'hôte HTTPS. Utilisez votre boîte à outils d'administration de courrier pour les vérifications de certificat port 25/587.