Проверка SSL-сертификата

Проверка SSL-сертификата показывает, действителен ли TLS-сертификат сайта, соответствует ли он запрошенному домену, правильно ли собрана цепочка и не близок ли срок окончания. HTTPS — это не только значок замка в браузере: он влияет на шифрование транспорта, подтверждение сервера, доверие пользователей, поисковую видимость, платежи, API-интеграции и автоматических клиентов. Инструмент полезен для эксплуатации, релизов, аудитов безопасности и разбора инцидентов, потому что показывает даты, издателя, имена доменов, детали цепочки и сигналы протокола. Частые проблемы — забытое продление, отсутствующий intermediate, неохваченный поддомен или сертификат на неправильном окружении. Security-related результат нельзя оценивать отдельно: важны ключи, контекст, выбор алгоритма и доверенный источник.

Сертификаты SSL/TLS соответствуют стандарту X.509. Каждый сертификат содержит следующие ключевые поля: Subject (домен или организация владельца), Issuer (выдавший центр сертификации), Validity (даты Not Before / Not After), Subject Public Key Info (открытый ключ и алгоритм), Signature Algorithm (например, SHA256-RSA или ECDSA-SHA256) и расширения X509v3 (среди которых наиболее важным является расширение Subject Alternative Name). Во время TLS-рукопожатия сервер отправляет свою цепочку в порядке: листовой сертификат -> промежуточный(е) сертификат(ы) -> корневой сертификат (который встроен в браузер и не нуждается в отправке). Клиент начинает с листового сертификата, на каждом уровне проверяет, что Issuer совпадает с Subject родительского сертификата, использует открытый ключ родителя для проверки подписи дочернего сертификата, проверяет окно действия и в конечном итоге прослеживает цепочку до доверенного корня. Let's Encrypt выдаёт сертификаты сроком действия всего 90 дней, предназначенные для использования с автоматизацией, такой как certbot; коммерческие сертификаты обычно действуют от 1 до 3 лет. SNI (Server Name Indication) позволяет одному IP-адресу размещать несколько HTTPS-сайтов: клиент сначала отправляет расширение SNI во время рукопожатия, сообщая серверу целевое имя хоста, а сервер возвращает соответствующий сертификат. OCSP (Online Certificate Status Protocol) позволяет запрашивать в реальном времени, был ли сертификат отозван, избегая необходимости загружать громоздкие списки CRL.

• Поля сертификата X.509: Subject (владелец), Issuer, Validity, Public Key, Signature Algorithm и расширение SAN
• Проверка цепочки сертификатов: начинается с листового сертификата, проверяет совпадение Issuer -> Subject уровень за уровнем, проверяет подпись дочернего сертификата открытым ключом родителя и в конечном итоге прослеживает до доверенного корня
• Сертификаты Let's Encrypt по умолчанию действуют 90 дней, используются совместно с certbot и аналогичными инструментами для автоматического продления; коммерческие сертификаты обычно действуют от 1 до 3 лет
• SNI (Server Name Indication) позволяет одному IP размещать несколько HTTPS-сайтов; клиент объявляет целевое имя хоста во время рукопожатия и получает соответствующий сертификат
• OCSP используется для проверки отзыва в реальном времени, избегая загрузки громоздких CRL; крупные центры сертификации также используют OCSP Stapling
• Истёкшие сертификаты, слабые алгоритмы подписи (SHA-1) и недостаточная длина ключа (RSA менее 2048 бит) вызывают предупреждения безопасности современных браузеров