TLS/SSL Kontrolü

Bu araç bir alan adının HTTPS yapılandırmasını doğrular: sunucunun neyi müzakere ettiğini, hangi sertifikaları sunduğunu, o sertifikaların hangi isimleri kapsadığını ve ne zaman dolacağını gösterir. Tarayıcı sertifika uyarısı verdiğinde, handshake bir istemcide patlayıp diğerinde çalıştığında ya da bir yenilemenin gerçekten yansıyıp yansımadığını doğrulamak gerektiğinde ilk çalıştırılacak kontroldür.

Düğmenin arkasında olan şey şu: araç host’a bir TLS bağlantısı açar, handshake’i tamamlar ve sunucunun gerçekten gönderdiklerini raporlar — müzakere edilen protokol sürümü ve cipher suite, ALPN ile anlaşılan uygulama protokolü ve sunulan bütün sertifikalar, sunuldukları sırayla. Son madde kulağa geldiğinden daha önemlidir: sertifika sorunlarının çoğu aslında zincir sorunudur ve yalnızca leaf sertifikaya bakarsanız zincir sorunu görünmez. Tarayıcıda kilide tıkladığınızda gördüğünüz de tam olarak leaf sertifikadır.

Bir istemci sertifikaya, leaf’ten kendi güven deposundaki bir root’a kadar zinciri kurabildiğinde güvenir. Public CA’lar neredeyse hiçbir zaman doğrudan root ile imzalamaz; arada en az bir intermediate vardır ve onu leaf ile birlikte göndermek sunucunun işidir. Kurmayı unuttuğunuzda site sizin bilgisayarınızdaki Chrome’da sorunsuz çalışır — çünkü Chrome o intermediate’i başka bir siteden önbelleğe almış ya da AIA üzerinden çekmiştir — ama bir Java istemcisinde, eski bir Android cihazda veya CI runner’daki curl’de düpedüz patlar. Burada gösterilen zincirde tek bir sertifika varsa hatanız odur.

İkinci klasik sorun hostname uyuşmazlığıdır. Tarayıcılar yıllar önce Subject Common Name alanını dikkate almayı bıraktı ve yalnızca SAN (Subject Alternative Name) listesine bakıyor. example.com için alınmış ama SAN’ında www.example.com bulunmayan bir sertifika, kullanıcı www’li adrese girdiği anda isim uyuşmazlığı hatası verir; otomatik sertifika üretiminde yalnızca çıplak alan adının kapsanması bu hatanın en sık sebebidir. Wildcard tek bir etiketi kapsar: *.example.com, app.example.com’u karşılar ama example.com’un kendisini ve a.b.example.com’u karşılamaz.

Süre dolması sıkıcı bir konudur ve hâlâ en çok kesintiye yol açan şeydir. Let’s Encrypt sertifikaları 90 gün geçerlidir, sektör daha da kısa ömürlere doğru gidiyor ve elle yenileme bu tempoyu kaldırmaz — ACME ile otomatikleştirin ve takvim kaydı yerine “kalan gün” üzerinden alarm kurun. Tarihleri yalnızca leaf’te değil zincirin tamamında kontrol edin: bir intermediate sizin sertifikanızdan önce dolabilir ve süresi biten çapraz imzalı root’lar, modern tarayıcılarda sorunsuz görünürken eski istemcilerde çok sayıda siteyi sessizce bozmuştur.

Protokol ve şifreleme tarafında yayınlanacak sürümler TLS 1.2 ve 1.3’tür. TLS 1.0 ve 1.1 RFC 8996 ile resmen kullanımdan kaldırıldı ve 2020’de tarayıcılardan çıkarıldı; RC4, 3DES, MD5 veya export seviyesindeki anahtar boylarını içeren her şeyin çoktan kapatılmış olması gerekir. Bir uyumluluk taraması sizi işaretlediyse ve bu araç TLS 1.3 ya da ECDHE anahtar değişimiyle AES-GCM/ChaCha20 kullanan bir TLS 1.2 gösteriyorsa genel olarak durumunuz iyidir. Sınırı da bilin: araç sunucunuzun bu tek bağlantı için seçtiğini raporlar, kabul edebileceği tüm listeyi değil.

Sonuçların tarayıcınızdan farklı çıkması meşru olabilir. CDN’ler farklı PoP’lardan farklı sertifika sunar, SNI paylaşımlı bir adreste hangi sertifikanın verileceğini belirler ve staging origin’i edge’den bambaşka bir şey sunuyor olabilir. Kullanıcılarınızın gerçekten yazdığı host’u test edin — www ve çıplak alan adını ayrı ayrı, kendi sertifikası olan her alt alan adını da tek tek — ve sonucu tek başına değil DNS ile yönlendirme zinciriyle birlikte okuyun.

Bu aracın yapmadıkları: yapılandırmanıza puan vermez, desteklenen tüm cipher suite’leri tek tek denemez, certificate transparency loglarına bakmaz, OCSP stapling’i derinlemesine doğrulamaz ve mutual TLS arkasındaki ya da standart dışı porttaki servislere ulaşamaz. Gerçek HTTPS olaylarının büyük çoğunluğunun arkasındaki dört soruyu yanıtlar: zincir tam mı, isim doğru mu, ne zaman doluyor, ne müzakere edildi. Bağlantı bizim sunucumuzdan kurulur; dolayısıyla sonuç bizim ağ yolumuzu ve istemci yeteneklerimizi yansıtır, sizin bilgisayarınızınkini değil.