dns.vork.eeKõik tööriistadSSL-sertifikaadi kontroll
Näed mõne sekundiga, kas sertifikaat kehtib, kellele see on välja antud ja mitu päeva on aegumiseni. Kontroll ühendub serveriga nagu brauser, aga vea korral näitab, mis täpselt valesti on.
Avaldatud
- näide.ee
- R11
- ISRG Root X1
- Väljaandja
- Let's Encrypt (R11)
- Nimed
- näide.ee, www.näide.ee
- Ühendus
- TLS 1.3
Kontroll ühendub pordiga 443 ja loeb serveri saadetud sertifikaadi.
Mida kontroll näitab
Brauser kontrollib sertifikaati iga kord, kui lehe avad, aga vea korral ütleb ta ainult seda, et ühendus ei ole privaatne. Põhjust ta enamasti ei näita. See kontroll loob sama ühenduse pordiga 443, loeb serveri saadetud sertifikaadi ja näitab kõiki selle osi eraldi.
- Kehtivus - kehtivuse algus ja lõpp ning päevade arv aegumiseni.
- Väljaandja - sertifitseerimiskeskus, mis sertifikaadi allkirjastas, näiteks Let's Encrypt.
- Nimed - kõik domeeninimed, mille jaoks sertifikaat kehtib (SAN-väli).
- Ahel - vahesertifikaadid serveri sertifikaadist kuni juursertifikaadini.
- Usaldus - kas ahel jõuab usaldatud juureni, kas nimi klapib ja kas sertifikaat on iseallkirjastatud.
- Ühendus - TLS-i versioon ja šifrikomplekt, milles server ja kontroll kokku leppisid.
Kolm viga, mis näevad brauseris ühesugused välja
Brauseri hoiatus on kõigil kolmel juhul sama, aga põhjus ja parandus on erinevad.
Sertifikaat on aegunud
Kõige sagedasem viga. Tavaliselt on automaatne uuendus vaikselt katki läinud: muudeti DNS-i või tulemüüri, koliti server või jäi uuendusskript vanasse kohta. Parandus on uus sertifikaat, aga tasub ka välja selgitada, miks automaatika peatus - muidu kordub sama järgmisel uuendusel.
Nimi ei klapi
Sertifikaat kehtib, aga mõne teise nime jaoks. Klassikaline juhtum: sertifikaat katab nime näide.ee, aga mitte www.näide.ee, või vastupidi. Vaata nimede loendit - kui külastatavat nime seal ei ole, tuleb sertifikaat välja anda uuesti, koos selle nimega.
Ahel on puudulik
Server saadab ainult oma sertifikaadi, aga mitte vahesertifikaati. Osa brausereid leiab puuduva lüli ise üles ja leht avaneb, aga paljud programmid ja osa seadmeid keelduvad ühendusest. Seepärast ei tõesta „minul töötab" veel midagi. Kontroll näitab sel juhul viga unable to verify the first certificate. Parandus on serveri seadistuses: kasuta täisahela faili (Let's Encrypti puhul fullchain.pem, mitte cert.pem).
Mitu päeva aegumiseni on piisav
Sertifikaadid kehtivad üha lühemat aega. Let's Encrypti sertifikaat kehtib 90 päeva. Alates 2026. aasta märtsist on uute sertifikaatide pikim lubatud kehtivus 200 päeva ja see lüheneb järk-järgult 47 päevani. Uuendamine peab seega olema automaatne - käsitsi uuendatav sertifikaat ununeb varem või hiljem.
Automaatne uuendus (näiteks certbot) uuendab sertifikaadi tavaliselt 30 päeva enne aegumist. Kui kontroll näitab alla 20 päeva ja uuendus peaks olema automaatne, on see märk, et automaatika ei tööta. Alla nädala on juba kiire. Null tähendab, et kehtivust on jäänud alla ööpäeva - täpse lõpuaja näed kehtivuse kuupäevast.
Kui uuendus ebaõnnestub ootamatult, kontrolli ka CAA-kirjet: kui see ei luba sinu sertifitseerimiskeskust, keeldub keskus uut sertifikaati välja andmast.
Pärast majutuse vahetust
Sertifikaadi jaoks on kõige riskantsem hetk kolimine. Uus server vajab kehtivat sertifikaati juba siis, kui DNS hakkab külastajaid sinna suunama. Muidu näeb osa külastajaid levimise ajal veateadet ja osa mitte, ning viga tundub juhuslik.
Pärast DNS-i muutmist kontrolli siin, kas vastab juba uus server: väljaandja ja kehtivuse algus näitavad, kas sertifikaat on uus. Kui näed endiselt vana, ei ole muudatus siia veel jõudnud või viitab kirje ikka vanale serverile - seda näitab DNS-i kontroll.
Mida see kontroll ei näe
Kontroll vaatab ainult veebiserveri porti 443. Postiserveri sertifikaat on eraldi ja võib aeguda hoopis teisel ajal.
Kontroll ei näita, milliseid TLS-i versioone server veel lubab - ainult seda, milles see ühendus kokku lepiti. Sertifikaadi tühistamist (OCSP) ei kontrollita.
Kui sama nime taga on mitu serverit (koormusjaotur, CDN), näed seda serverit, kuhu ühendus parajasti läks. Mõni teine server võib samal ajal saata vana sertifikaati.
HTTPS-i sundimine ja HSTS on turvapäiste teema. Neid näitab domeeni kontroll.
Virtuaal.com-i klientidele
Virtuaal.com-i veebimajutuses saab iga domeen ja alamdomeen tasuta Let's Encrypti sertifikaadi, mida uuendatakse automaatselt. Kui kontroll näitab viga või aegumine on lähedal, kirjuta Virtuaal.com-i klienditoele ja lisa kirjale domeen ning selle kontrolli tulemus.
Seotud juhendid ja tööriistad
Korduma kippuvad küsimused
Mis juhtub, kui SSL-sertifikaat aegub?
Brauser näitab külastajale hoiatust, et ühendus ei ole privaatne, ja enamik inimesi lahkub lehelt. Ka programmid ja makseliidesed katkestavad ühenduse. Server ise töötab edasi - katki on ainult sertifikaat, seega parandus on uus sertifikaat, mitte serveri taaskäivitus. Kui uuendus peaks olema automaatne, selgita välja, miks see peatus, sest muidu kordub sama järgmisel uuendusel.
Mis on vahesertifikaat ja miks see võib puudu olla?
Sertifitseerimiskeskus ei allkirjasta sinu sertifikaati otse juursertifikaadiga, vaid vahesertifikaadiga, ja server peab saatma mõlemad. Kui server saadab ainult oma sertifikaadi, avaneb leht mõnes brauseris ikkagi, aga programmid ja osa seadmeid keelduvad. Kontroll näitab siis viga "unable to verify the first certificate". Parandus on serveri seadistuses: kasuta täisahela faili.
Miks sertifikaat kehtib aadressil näide.ee, aga mitte www.näide.ee?
Sertifikaat kehtib ainult nende nimede jaoks, mis on loetletud selle SAN-väljal. Kui www-nimi sealt puudub, on sertifikaat selle aadressi jaoks vale, kuigi muidu kehtib. Kontroll näitab nimede loendit. Puuduva nime jaoks tuleb sertifikaat välja anda uuesti.
Kui palju enne aegumist peaks sertifikaat uuenema?
Automaatne uuendus (näiteks certbot) teeb seda tavaliselt 30 päeva enne aegumist. Kui aegumiseni on alla 20 päeva ja uuendus peaks olema automaatne, on see märk, et automaatika ei tööta - vaata uuenduse logi. Kui uuendad käsitsi, pane meeldetuletus vähemalt kaks nädalat varem.