SSL & TLS аудит

Проверка SSL-сертификата и протокола TLS

Проверьте срок действия SSL-сертификата, целостность цепочки доверия и поддержку современных протоколов TLS.

Открывает защищенное соединение TLS на порту 443 и проверяет сертификат.

Мы открываем защищенное TLS соединение на порт 443 и считываем параметры сертификата.

Подробное руководство по теме SSL-сертификаты и шифрование TLS: руководство по безопасности домена Разница между сертификатами DV, OV и EV. Поддержка TLS 1.3, правильная настройка цепочки доверия и предотвращение предупреждений браузера. Читать руководство · 1 мин чтения →

Что проверяет этот инструмент

Проверка действительности сертификата, цепочки доверия CA и протоколов TLS.

  • Срок действия

    Контроль даты истечения сертификата и своевременного обновления

  • Цепочка доверия

    Проверка промежуточных сертификатов CA (full-chain)

  • SAN охват доменов

    Проверка покрытия поддоменов и альтернативных имен

  • Поддержка TLS 1.3

    Анализ поддержки современных безопасных версий протокола TLS

  • Версия протокола TLS

    Протокол TLS 1.3 быстрее на один сетевой цикл (1-RTT) и безопаснее устаревших версий.

  • Центр сертификации и алгоритм

    Орган, выдавший сертификат, и алгоритм шифрования подписи (RSA/ECDSA).

  • Срок действия сертификата

    Современные браузеры блокируют сертификаты со сроком действия более 398 дней.

Техническое руководство и лучшие практики

Expiring inside 21 days means renewal has already failed. A Let's Encrypt certificate is designed to renew at day 60 of 90. If it has not, the automation broke — a firewall rule, a moved webroot, an expired API token. Check the renewal job now, not next week.

A hostname the certificate does not cover is a full security warning for every visitor reaching the site that way. This is the failure you never encounter yourself.

A short chain means the intermediate certificate is missing. Your laptop probably fetches it silently and shows a padlock; a customer's Android phone or a payment provider's API client may not, and sees an untrusted certificate. "It works for me" is not a valid test for TLS.

On free versus paid: for encryption they are identical, and browsers stopped displaying the distinction years ago. Pay for a certificate only when a specific compliance requirement names one.

Set an independent alert on the live certificate's expiry date rather than on whether the renewal job reported success. The failure mode you need to catch is the automation stopping quietly.

Частые проблемы с SSL-сертификатами

Expiry

The most common and most damaging failure. Browsers show a full-page interstitial that most visitors will not click through, and search crawlers treat the site as unreachable. Revenue goes to zero, not down.

Let's Encrypt certificates last 90 days and are designed to be renewed automatically at 60. Automation removes the risk entirely — until the renewal cron silently fails and nobody notices for a month. Monitor the expiry date independently of the renewal process; the failure mode is always "the automation stopped working quietly."

Hostname coverage

A certificate covers specific names, listed in the Subject Alternative Name field. A certificate for example.com does not cover www.example.com unless www is explicitly listed — and vice versa. Half your visitors get a security warning and you never see it because you always type it the same way.

Wildcards (*.example.com) match exactly one label. shop.example.com is covered; eu.shop.example.com is not.

Chain problems

Your certificate is signed by an intermediate certificate, which is signed by a root the browser already trusts. Your server has to send the intermediate. If it does not, most desktop browsers paper over the gap by fetching it themselves — but many mobile browsers, API clients and older systems do not, and they see an untrusted certificate.

This is why a site can work perfectly on your laptop and fail on a customer's phone. Always test the full chain, not just whether your browser shows a padlock.

TLS version

TLS 1.2 is the minimum acceptable. TLS 1.3 is faster — it completes the handshake in one round trip instead of two, which is a measurable speed improvement, not just a security one. TLS 1.0 and 1.1 are deprecated, rejected by modern browsers, and fail PCI compliance.

What a certificate does not tell you

An EV or OV certificate costs more and proves the organisation was verified, but browsers stopped displaying that distinction years ago. For almost every site, a free Let's Encrypt certificate provides identical encryption and identical browser treatment. Pay for a certificate only when a specific compliance requirement names one.

Часто задаваемые вопросы

Как часто нужно проводить данную проверку?

Рекомендуется выполнять проверку перед каждым крупным релизом сайта, сменой хостинга или подключением новых доменов.

Сохраняются ли проверяемые домены на ваших серверах?

Нет, все запросы обрабатываются в режиме реального времени и мы не сохраняем историю проверок или доменные имена.

Как исправить обнаруженные ошибки?

Следуйте рекомендациям из отчета или обратитесь к нашей команде разработчиков за профессиональной помощью.

Нужен ли Wildcard сертификат?

Только если у вас много поддоменов (shop.example.com, app.example.com). Для одного домена с www достаточно стандартного SAN сертификата.

Другие бесплатные инструменты

Расскажите, каких показателей вы хотите достичь.

Одна команда. Три международных офиса. 26 рабочих языков. Отправьте нам задачу — мы предложим решение.

Получить предложение → Написать нам сейчас

Письменное коммерческое предложение в течение одного рабочего дня на вашем языке.