بررسی گواهی SSL آنلاین

گواهی، همانطور که مرورگر میبیند

بررسی گواهی SSL یک اتصال TLS به پورت ۴۴۳ دامنه برقرار میکند، با نام دامنه در SNI، و گواهی ای که سرور برای همان نام میفرستد را میخواند: صادرشده برای، صادرکننده، تاریخ شروع و پایان اعتبار، روزهای باقیمانده، نامهای دیگر روی همین گواهی (SAN)، نسخه پروتکل و رمزنگاری توافق شده، شماره سریال، اثر انگشت SHA-256 و زنجیره تا مرجع ریشه. میتوانید به جای نام، آی پی بنویسید؛ آن وقت SNI فرستاده نمیشود و سرور گواهی پیشفرضش را میدهد.

اتصال از سرور IPVIEW زده میشود. نام دامنه با resolver خودِ این جعبه ابزار به آدرس تبدیل میشود و نشانیهای خصوصی بررسی نمیشوند. فقط پورت ۴۴۳ آزمایش میشود؛ گواهی سرور ایمیل روی 465 یا 993 را این ابزار نمیبیند. سقف ۲۰ درخواست در دقیقه است.

نتیجه را چطور بخوانیم

جمله بالا یکی از این چهار است: «معتبر است و n روز دیگر اعتبار دارد»، «تا n روز دیگر منقضی میشود» (کمتر از ۱۵ روز)، «منقضی شده است»، یا «تاریخ اعتبار خوانده نشد». روزهای باقیمانده را با گواهیهای ۹۰ روزه Let's Encrypt بسنجید: چنین گواهی ای معمولاً ۳۰ روز پیش از پایان تمدید میشود، و اگر کمتر از ۲۰ روز مانده، تمدید خودکار احتمالاً شکسته است.

«زنجیره معتبر: خیر» با خطای کنارش، همان خطایی است که مرورگر نشان میدهد. متداولترینها: UNABLE_TO_VERIFY_LEAF_SIGNATURE یا UNABLE_TO_GET_ISSUER_CERT_LOCALLY یعنی سرور گواهی میانی را نمیفرستد و زنجیره ناقص است (مرورگرهای دسکتاپ گاهی خودشان آن را پیدا میکنند، موبایل و برنامه ها نه)؛ SELF_SIGNED_CERT_IN_CHAIN یعنی خودامضا؛ CERT_HAS_EXPIRED یعنی منقضی. اگر نامی که نوشته اید در «صادرشده برای» یا «نامهای دیگر» نیست، مرورگر خطای نام میدهد حتی اگر گواهی سالم باشد. تا ۴۰ نام جایگزین در جدول میآید و اگر بیشتر بود، زیر جدول گفته میشود.

چه وقت به کار میآید

مرورگر میگوید «اتصال شما خصوصی نیست» و شما میخواهید بدانید منقضی شده، نام نمیخواند یا زنجیره ناقص است؛ هر سه اینجا جداگانه معلوم میشود. یا پیش از انقضا، همه دامنه هایتان را یک بار بررسی کنید و لینک نتیجه را نگه دارید.

بعد از نصب گواهی تازه، تأیید کنید که سرور همان را میفرستد (شماره سریال با آنچه مرجع صادر کرده یکی باشد) و زنجیره کامل است. اگر اتصال اصلاً برقرار نشد، بررسی یک پورت روی 443 و فیلترسنج میگویند مشکل از پورت بسته است، سرور پایین است یا مسیر. و برای اینکه فقط مرجع دلخواه شما بتواند گواهی صادر کند، بررسی رکورد CAA را ببینید.

پرسشهای رایج

چطور تاریخ انقضای گواهی SSL را بررسی کنم؟

نام دامنه را بنویسید و اجرا کنید؛ جمله بالای نتیجه روزهای باقیمانده را میگوید و خانه های «از» و «تا» تاریخ دقیق را. اگر کمتر از ۱۵ روز مانده باشد، جمله رنگ هشدار میگیرد. گواهیهای Let's Encrypt ۹۰ روزه اند و باید پیش از ۳۰ روز آخر خودکار تمدید شوند.

«زنجیره معتبر: خیر» یعنی چه؟

یعنی زنجیره گواهی از گواهی سایت تا یک مرجع ریشه شناخته شده کامل یا معتبر نیست و مرورگر هم همین خطا را میدهد. دلیل متداول، نفرستادن گواهی میانی از سمت سرور است؛ فایل fullchain را به جای فقط cert نصب کنید. گواهی خودامضا و گواهی منقضی هم همین خانه را «خیر» میکنند و کد خطا کنارش میگوید کدام است.

چرا مرورگر خطای گواهی میدهد در حالی که گواهی معتبر است؟

یا نامی که در مرورگر وارد میکنید در «صادرشده برای» و «نامهای دیگر» نیست (مثلاً گواهی برای www.example.com است و شما example.com را باز کرده اید)، یا زنجیره ناقص است و مرورگر شما، به ویژه روی موبایل، گواهی میانی را خودش پیدا نمیکند. یا ساعت دستگاه شما اشتباه است. دو مورد اول را اینجا میتوانید ببینید.

آیا این ابزار گواهی سرور ایمیل را هم بررسی میکند؟

نه. فقط پورت ۴۴۳ آزمایش میشود، پس گواهی سرور ایمیل روی پورتهای 465، 587 یا 993 را نمیبیند. برای اینکه بدانید آن پورتها از بیرون باز اند، بررسی یک پورت را به کار بگیرید؛ خواندن خودِ گواهی روی آن پورتها را باید با openssl روی دستگاه خودتان انجام دهید.