Ce verifică acest test?
KernelHost SSL Checker preia certificatul serverului prin TLS handshake din nodul nostru de la Frankfurt și vă arată cele mai importante câmpuri, fără apeluri către terți. Următoarele sunt verificate și afișate:
- Emis pentru și de: Common Name (Subject CN), Subject DN complet, și Issuer (ce CA a semnat certificatul).
- Perioadă de validitate: Data de început și de final în UTC plus zilele rămase. Cod culori: verde (>30 zile), portocaliu (7 până la 30 zile), roșu (sub 7 zile sau deja expirat).
- Subject Alternative Names (SANs): Lista completă a hostname-urilor pe care le acoperă certificatul, inclusiv intrări wildcard.
- Potrivire hostname: Verifică dacă domeniul introdus este efectiv acoperit de Common Name sau de o wildcard SAN (RFC 6125).
- Cheie și semnătură: Algoritm cheie publică (RSA, ECDSA), dimensiune cheie în biți sau nume curbă, și algoritm de semnătură.
- Fingerprints și serial: Fingerprint SHA-256 și SHA-1 al certificatului codat DER, plus numărul serial hexazecimal.
- Lanț complet: Toate certificatele pe care serverul le-a livrat în timpul handshake-ului, cu subject, issuer și rol (leaf, intermediate, root).
Erori SSL frecvente și ce înseamnă
Browserele afișează adesea erori criptice ca NET::ERR_CERT_DATE_INVALID sau SSL_ERROR_BAD_CERT_DOMAIN. Iată cele mai frecvente cauze și cum le rezolvați:
- Certificat expirat: Data notAfter este în trecut. Browserele blochează pagina complet. Soluție: reînnoiți certificatul. Cu Let's Encrypt asta se întâmplă automat la fiecare 60 zile prin certbot sau acme.sh.
- Hostname mismatch: Hostname-ul nu apare nici în Common Name nici într-un SAN. Soluție: la reemitere, adăugați fiecare domeniu și subdomeniu de care aveți nevoie ca SAN.
- Self-signed sau CA necunoscută: Issuer-ul nu este o root CA de încredere. Browserele afișează NET::ERR_CERT_AUTHORITY_INVALID. Soluție: obțineți un certificat de la o CA recunoscută ca Let's Encrypt, ZeroSSL, Sectigo sau DigiCert.
- Lanț incomplet: Serverul livrează doar certificatul leaf fără intermediates. Browserele mobile și dispozitivele mai vechi eșuează. Soluție: configurați lanțul complet (fullchain.pem) în serverul web.
- Cheie slabă sau semnătură slabă: RSA sub 2048 bit sau semnături SHA-1 nu mai sunt acceptate. Soluție: reemiteți cu RSA 2048+ sau ECDSA P-256.
- Mixed content și capcana HSTS: Dacă ați trimis anterior un header HSTS valid și certificatul expiră apoi, vizitatorii nu pot da click prin avertisment. Acțiune imediată: reînnoiți certificatul; în urgențe reduceți HSTS max-age.
Let's Encrypt vs. certificate comerciale
Let's Encrypt este o CA gratuită, automatizată, operată de ISRG. Certificatele sunt tehnic identice cu certificatele DV comerciale și sunt de încredere pentru toate browserele moderne.
Când are sens un certificat plătit? Doar în cazuri speciale:
- Extended Validation (EV): Obișnuia să afișeze o bară verde de adresă; astăzi abia se vede. Util doar pentru bănci sau platforme de tranzacționare când este cerut legal.
- Wildcard fără DNS challenge: Let's Encrypt suportă wildcards doar prin DNS-01 challenge. Dacă nu aveți acces API la DNS, ZeroSSL Premium sau Sectigo sunt alternative.
- Garanție și asigurare: CA comerciale oferă sume de asigurare în caz de mis-issuance. În practică rar relevant, dar unele framework-uri de compliance îl cer.
KernelHost Webhosting și cPanel includ integrare gratuită Let's Encrypt din start. Certificatele se reînnoiesc la fiecare 60 zile prin AutoSSL fără să faceți nimic. Certificatele wildcard prin DNS challenge sunt și ele posibile odată ce domeniul este găzduit pe DNS-ul KernelHost.
TLS 1.2 vs. TLS 1.3
TLS 1.2 este standard din 2008, TLS 1.3 a fost publicat ca RFC 8446 în 2018 și este larg implementat din 2020. Versiunile mai vechi (SSL 3.0, TLS 1.0, TLS 1.1) sunt nesigure și ar trebui dezactivate în configurația serverului.
Ce face TLS 1.3 mai bine:
- Handshake mai rapid: 1-RTT în loc de 2-RTT, plus 0-RTT opțional pentru reluare. Vizibil mai rapid pe pagini TLS-heavy.
- Set de ciphere mai curat: Doar 5 cipher suites AEAD permise. Fără mai mult schimb de chei RSA; întotdeauna forward secrecy.
- Handshake criptat: Certificatul serverului însuși este transmis criptat. Cu ESNI/ECH, chiar și SNI este privat.
- Compatibil cu versiunile anterioare: Serverele pot oferi TLS 1.2 și 1.3 în paralel. Browserele negociază automat cea mai înaltă versiune comună.
Ce înseamnă un certificat expirat?
Un certificat SSL expirat înseamnă concret: browserele afișează un avertisment pe ecran complet și blochează site-ul. Vizitatorii nu pot da click prin în majoritatea cazurilor, mai ales când există un header HSTS activ.
Consecințe pentru operator:
- Pierdere de ranking pe Google (HTTPS este factor de ranking și semnale legate de încredere sunt evaluate).
- Serverele de mail (MX/SMTP cu STARTTLS) refuză conexiuni de intrare; mailul face bounce sau este livrat cu întârziere.
- Clienții API și aplicațiile mobile cu certificate pinning se rup și pot avea nevoie de update.
HSTS, CAA și OCSP stapling
Un certificat valid este doar începutul. Trei mecanisme suplimentare ridică securitatea TLS la nivel best-practice:
- HSTS (HTTP Strict Transport Security): Header care forțează browserele să folosească doar HTTPS de acum încolo. Recomandat: max-age=63072000; includeSubDomains; preload (doi ani, toate subdomeniile, lista preload). Aveți grijă la activare: o configurare greșită nu este reversibilă cât timp max-age încă rulează.
- CAA (Certification Authority Authorization): Înregistrare DNS care definește ce CA pot emite certificate pentru domeniul dvs. Exemplu: 'kernelhost.com. CAA 0 issue "letsencrypt.org"' previne emiterea greșită de către alte CA.
- OCSP stapling: Serverul web livrează el însuși răspunsul de status de revocare al CA în loc ca fiecare browser să întrebe CA separat. Mai rapid pentru vizitatori și mai ușor pentru infrastructura CA. Apache: SSLUseStapling On, nginx: ssl_stapling on.
Confidențialitate
KernelHost SSL Checker rulează în întregime în nodul nostru din Frankfurt fără apeluri către terți:
- Niciun forward al intrării dvs. către API externe (fără SSL Labs, fără Hardenize, fără Cryptomon).
- Nicio stocare a domeniului verificat dincolo de logging-ul standard de cereri (log webserver, retenție 14 zile).
- Filtru anti-SSRF blochează cererile către intervale IP private, loopback și link-local.
- Rate limit per IP împotriva abuzului. hCaptcha opțional la trimitere.