Как проверить SSL-сертификат сайта и срок его действия

SSL-сертификат сайта проверяют в браузере, онлайн-чекере и на сервере: сверяют срок действия, имя домена и цепочку доверия. Чекер покажет, какие данные сервер отдаёт внешнему посетителю. Если браузер предупреждает об ошибке, сначала проверьте сертификат и адрес сайта.

Как проверить SSL-сертификат: три рабочих способа

Проверка сертификата начинается со срока действия, имени домена и цепочки доверия. TLS шифрует соединение, а сертификат помогает браузеру проверить, что он подключился к нужному сайту. Сам факт, что страница открывается, не подтверждает корректность сертификата.

Три способа дополняют друг друга. Начните с браузера, затем проверьте домен снаружи, а после установки — конфигурацию сервера.

Во всех проверках сравнивайте имя домена, дату окончания и цепочку. Без доступа к серверу хватит браузера и онлайн-чекера. После установки сертификата добавьте проверку с сервера, особенно если сайт работает за CDN.

Расширение антивируса может влиять на отображение значка в браузере. После смены веб-сервера проверьте сайт снаружи и на сервере.

Факт. Браузер сверяет имя сайта, срок действия и цепочку сертификатов. Если одна из проверок не проходит, он может показать предупреждение.

Мнение. При приёмке сайта без доступа к серверу проверьте корневой домен и www в браузере и внешнем чекере. Серверную проверку добавьте, когда подрядчик предоставит доступ.

Срок и издатель: проверка в Chrome, Firefox, Safari и Яндекс.Браузере

В карточке сертификата можно проверить срок и издателя. Откройте сведения о соединении слева от адреса сайта и найдите сертификат. Ищите дату окончания, издателя, список SAN и цепочку доверия. Один значок замка не показывает все эти сведения.

В Firefox откройте меню соединения и выберите просмотр сертификата. Названия пунктов могут меняться между версиями браузера.

В Safari откройте сведения о сайте и выберите сертификат. На Mac его также можно посмотреть в приложении «Связка ключей».

В Яндекс.Браузере откройте сведения о соединении и карточку сертификата. Интерфейс меняется между версиями, но нужные поля те же: срок, издатель, SAN и цепочка.

Браузер не показывает все параметры TLS или сертификаты того же домена из журналов Certificate Transparency. Для более широкой проверки используйте чекер и серверные инструменты.

Сначала проверьте дату окончания, издателя и SAN. Если имя сайта не указано в SAN, браузер может выдать предупреждение.

Онлайн-проверка SSL: что должно быть в отчёте

Онлайн-чекер показывает, какой сертификат сервер отдаёт внешнему посетителю. Проверяйте корневой домен и www отдельно: это разные имена. Если сайт работает на нестандартном порту или через CDN, укажите нужный адрес и проверьте результат с учётом этой конфигурации.

В отчёте ищите издателя, subject, SAN, срок действия, серийный номер и цепочку. Некоторые чекеры также показывают версию TLS и параметры соединения. Неполная цепочка может мешать отдельным клиентам установить доверие к сертификату.

Обычный чекер не проверит весь сайт. Для смешанного контента, настроек DNS и CMS нужны отдельные инструменты.

Выбирайте инструмент по задаче: для сертификата достаточно проверки домена, а для параметров соединения нужна лаборатория TLS. Запись в журнале Certificate Transparency отвечает на другой вопрос: какие сертификаты выпускали для домена.

Зелёная оценка чекера сама по себе не подтверждает, что проверены все домены и страницы сайта.

Проверка со своего сервера: openssl и PowerShell

Проверка с сервера помогает выяснить, какой сертификат отдаёт сам хост. Онлайн-чекер может попасть на CDN или другой узел, поэтому после установки сверяйте внешний результат с настройкой сервера.

Команда openssl s_client выводит сведения о сертификате и результат проверки соединения. Найдите subject, дату окончания, issuer, код проверки и переданную цепочку. Этих полей обычно достаточно, чтобы сообщить подрядчику о проблеме.

• subject — имя или имена, указанные в сертификате;
• notAfter — дата окончания действия;
• issuer — издатель сертификата;
• verify return code — результат проверки доверия;
• цепочка — сертификаты, переданные сервером.

В Windows сертификат HTTPS-соединения можно посмотреть в настройках привязки сайта в IIS. Сверьте его срок и отпечаток с сертификатом, который виден в браузере.

После выпуска или смены веб-сервера повторите внешнюю и серверную проверки. Сравните имя и срок сертификата. Проверка со стенда через подмену hosts не покажет, что получают посетители продакшен-сайта.

Цепочка доверия, SAN и типы сертификатов

Сервер передаёт конечный сертификат и нужные промежуточные сертификаты, чтобы браузер мог проверить цепочку доверия. Если промежуточного сертификата не хватает, часть клиентов может не принять соединение.

SAN содержит имена, для которых выдан сертификат. Корень домена и www нужно проверить отдельно. Сертификат с маской *.site.ru покрывает поддомен вроде shop.site.ru, но не site.ru и не a.b.site.ru. Для этих имён потребуется отдельный SAN или сертификат.

Для публичного сайта самоподписанный сертификат вызовет предупреждение у посетителей. Для визитки или одностраничного сайта под ключ обычно достаточно сертификата, который подтверждает контроль над доменом. Проверка организации не устраняет ошибки цепочки и не ускоряет загрузку страниц.

Если сайт использует адреса вида a.b.site.ru, сертификат *.site.ru не подойдёт. Проверьте, что все нужные имена включены в SAN.

Ошибки SSL в браузере: код, причина, кого чинить

Предупреждение браузера часто связано с истёкшим сертификатом, чужим именем или неполной цепочкой. Сначала запишите код ошибки, затем проверьте срок, SAN и издателя в карточке сертификата.

После исправления проверьте сайт повторно в браузере и внешним чекером. Если результаты расходятся, проверьте, не обслуживаются ли домены разными узлами.

Срок жизни сертификата и независимая сверка

Срок действия сертификата указан в самом сертификате и в карточке браузера. Перед настройкой продления проверьте срок установленного файла и способ его выпуска. Не ориентируйтесь на общий совет о «сертификате на несколько лет»: сроки зависят от сертификата и правил выпуска.

Let's Encrypt выпускает сертификаты с ограниченным сроком действия и поддерживает продление через ACME. Настройте автоматическое продление и проверяйте, что сервер начал отдавать новый сертификат. Это подходит сайтам, где можно настроить ACME; при ручном управлении сертификатами нужен другой процесс продления.

Журналы Certificate Transparency позволяют посмотреть сведения о выпущенных сертификатах. Например, crt.sh ищет записи по домену. Запись CAA в DNS задаёт, каким центрам сертификации разрешён выпуск сертификатов для домена.

Чек-лист приёмки HTTPS у веб-студии

Принимайте HTTPS по результатам проверки доменов и страниц. Корневой домен и www могут обслуживаться по-разному, поэтому проверяйте оба. Для адаптивного сайта с рабочим HTTPS этот список подходит так же, как для интернет-магазина.

• Корневой домен и www открываются с подходящим сертификатом.
• HTTP перенаправляет на HTTPS без циклов.
• Имя в адресной строке есть в SAN.
• Сервер передаёт полную цепочку.
• Внешний чекер показывает установленный сертификат.
• Изображения, стили, скрипты и шрифты загружаются по HTTPS.
• Понятно, кто продлевает сертификат и на каком сервере его менять.

Заголовок HSTS включает автоматический переход на HTTPS у браузеров, которые его получили. Настраивайте его после проверки сертификата и перенаправления: иначе ошибка в сертификате затруднит доступ к сайту.

Если заказываете сайт для бизнеса в Новороссийске, добавьте проверку HTTPS в приёмку. Подрядчик должен показать, что домены и страницы сайта проходят её до запуска.

Мониторинг срока, истечение и смешанный контент

После публикации сайта проверьте сертификат снаружи. Повторите проверку после смены хостинга и настройте напоминание до окончания срока. Для автоматического продления убедитесь, что сервер действительно отдаёт новый сертификат.

Срок напоминания зависит от того, кто продлевает сертификат и сколько времени занимает выпуск и установка. Если сертификат продлевается вручную или сайт работает на нескольких серверах, проверяйте каждый адрес отдельно.

Смешанный контент возникает, когда защищённая страница загружает изображения, скрипты, стили или шрифты по HTTP. Браузер может заблокировать такие файлы. Замените ссылки на HTTPS и проверьте страницы повторно.

Проверка завершена, когда браузер, чекер и сервер показывают подходящий сертификат для каждого домена. При расхождении результатов проверьте конфигурацию узлов и CDN.

Если принимаете сайт у студии, пришлите домен. Проверим HTTPS по чек-листу и укажем, что нужно исправить до запуска.

Источники

• Начало работы — Let's Encrypt