Weryfikator certyfikatu TLS

Jak działa ta kontrola

Scanaris otwiera połączenie TLS z Twoją domeną tak, jak zrobiłaby to przeglądarka, i odczytuje certyfikat zwrócony przez serwer oraz wynegocjowany protokół. Mogą z tego wyniknąć cztery ustalenia. Jeśli strona nie jest serwowana przez HTTPS, waga wysoka. Jeśli certyfikat już wygasł, krytyczna. Jeśli wygasa w ciągu 15 dni lub mniej, wysoka; w ciągu 30 lub mniej, średnia. A jeśli serwer zgadza się negocjować TLS 1.0 lub 1.1, średnia, bo to wycofane protokoły, które nowoczesne przeglądarki odrzucają i które umożliwiają znane ataki. Zestawy szyfrów i łańcuch certyfikatów nie są tu oceniane szczegółowo; celem jest wykrycie tego, co zepsuje Twoją stronę albo zostawi ją bez prawdziwego szyfrowania.

Dlaczego to ważne

Wygasły certyfikat to nie dyskretne ostrzeżenie: przeglądarka pokazuje czerwony ekran na całą stronę i większość odwiedzających odchodzi. Operatorzy płatności i integracje przez API przestają działać natychmiast. I jest to najczęstsza awaria ze wszystkich, bo certyfikat Let's Encrypt trwa 90 dni, dozwolone dziś maksimum to 398 dni, a branża uzgodniła obniżenie go do 47 dni do 2029 roku: bez automatycznego odnawiania prędzej czy później wygaśnie w weekend. Stare protokoły to drugi problem: serwer, który akceptuje TLS 1.0, pozwala atakującemu w tej samej sieci wymusić tę wersję i odszyfrować ruch.

Jak to naprawić

Certyfikat wygasły lub bliski wygaśnięcia

• Na Vercel, Netlify, Cloudflare, Railway lub Render certyfikat jest wystawiany i odnawiany sam. Jeśli widzisz tam to ustalenie, prawie zawsze domena wskazuje gdzie indziej albo weryfikacja domeny się nie powiodła: sprawdź rekordy DNS w panelu.
• Na własnym serwerze użyj klienta ACME (certbot lub tego z Twojego panelu) z zaplanowanym odnawianiem i sprawdź, czy zadanie jest aktywne: certbot renew --dry-run nie może zwrócić błędów.
• Ustaw zewnętrzny alert. Automatyczne odnawianie zawodzi po cichu, gdy zmieni się DNS albo wygaśnie token. Scanaris ostrzega Cię mailem na 30, 14 i 3 dni przed.

Przestarzałe protokoły

W nginx: ssl_protocols TLSv1.2 TLSv1.3;. W Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. Na load balancerze AWS lub Google wybierz nowoczesną politykę bezpieczeństwa. Platformy zarządzane robią to już same.

Brak HTTPS

Włącz certyfikat u swojego hostingu (zwykle to jedno pole do zaznaczenia), a potem przekierowanie z HTTP na HTTPS, które mierzy kontrola przekierowanie HTTPS.

Sprawdź, czy naprawione

echo | openssl s_client -connect twojadomena.pl:443 -servername twojadomena.pl 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect twojadomena.pl:443 -servername twojadomena.pl -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1

Pierwsze polecenie pokazuje datę wygaśnięcia; drugie próbuje połączenia w TLS 1.1 i musi się nie powieść. Co oznacza każda część oceny TLS, znajdziesz w co naprawdę oznacza Twoja ocena TLS.

Często zadawane pytania

Mój hosting odnawia automatycznie. Skąd to ostrzeżenie?

Bo coś w tym odnowieniu się nie powiodło: zmieniony rekord DNS, domena, która już nie wskazuje na platformę, albo limit wystawiania. Otwórz panel hostingu i sprawdź stan certyfikatu domeny.

Czy darmowy certyfikat jest gorszy?

Nie. Szyfruje dokładnie tak samo jak płatny. Płatne dodają walidację organizacji lub gwarancje, a nie większe bezpieczeństwo połączenia.

Czy mam wyłączyć też TLS 1.2?

Nie. Dobrze skonfigurowany TLS 1.2 pozostaje bezpieczny i jest potrzebny niektórym klientom. Usunąć trzeba 1.0 i 1.1.