A+ SSL ग्रेड कैसे पाएं (2026 चेकलिस्ट)

ग्रेड असल में क्या तय करता है

CertH एक शुद्ध TLS हैंडशेक से पाँच भारित क्षेत्रों को अंक देता है: सर्टिफ़िकेट की वैधता और चेन, कुंजी की मज़बूती और सिग्नेचर एल्गोरिदम, दिए जाने वाले प्रोटोकॉल संस्करण, तय किए गए साइफ़र सूट, तथा HSTS और OCSP stapling। सर्वर तक पहुँच नहीं, कोई एजेंट नहीं, कोई कॉन्फ़िग फ़ाइल अपलोड नहीं — सब कुछ बाहर से देखा जाता है, ठीक वैसे ही जैसे ब्राउज़र देखता है।

सीमाएँ सरल हैं। A+ के लिए 95 या अधिक अंक, तय किए गए प्रोटोकॉल में TLS 1.3, और HSTS जो या तो preload हो या जिसका max-age कम से कम 180 दिन हो। A 90 से, B 80 से, C 70 से, D 55 से, और 55 से नीचे F है। समय-सीमा पार सर्टिफ़िकेट अपने आप 0 है।

A से A+ तक ले जाने वाले चार बदलाव

व्यवहार में अंतर लगभग हमेशा इन चार में से एक होता है। क्रम से ठीक करें — हर एक बाहर से स्वतंत्र रूप से सत्यापित हो सकता है, इसलिए हर कदम के बाद दोबारा स्कैन कर सकते हैं।

• •TLS 1.3 चालू करें। यह अपने आप अंक देता है और A+ के लिए ज़रूरी है, चाहे बाकी सब 100 हो।
• •HSTS को कम से कम max-age=15552000 (180 दिन) तक बढ़ाएँ। एक वर्ष (31536000) आम चुनाव है।
• •मध्यवर्ती सर्टिफ़िकेट सहित पूरी चेन दें। मध्यवर्ती छूटने पर कुछ क्लाइंट में चेन त्रुटि दिखती है और अंक कटते हैं।
• •OCSP stapling चालू करें ताकि निरसन जाँच हैंडशेक के साथ जाए, आगंतुक का IP CA को न खुले।

A+ देने वाला nginx कॉन्फ़िगरेशन

आधुनिक nginx (1.19+ और OpenSSL 1.1.1+) के लिए पूरा server ब्लॉक। यदि आपका nginx पुराने OpenSSL के साथ बना है, तो यहाँ कुछ भी लिखने पर TLS 1.3 चुपचाप उपलब्ध नहीं होगा — पहले nginx -V से जाँचें।

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

A+ देने वाला Apache कॉन्फ़िगरेशन

Apache में stapling कैश सर्वर स्तर पर एक बार घोषित करना होता है, वर्चुअल होस्ट के अंदर नहीं। बाकी <VirtualHost *:443> ब्लॉक में जाता है।

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off
SSLSessionTickets off

SSLUseStapling on
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

साइट को A पर रोकने वाली गलतियाँ

सबसे आम: ऐसे डोमेन पर includeSubDomains के साथ HSTS चालू करना जिसके कुछ सबडोमेन अभी भी केवल HTTP पर हैं — वे तुरंत बंद हो जाते हैं, और आम प्रतिक्रिया पूरी हेडर हटा देना होती है, जो आपको A पर लौटा देती है। HSTS चरणों में लागू करें: 300 सेकंड के max-age से शुरू करें, एक हफ़्ते देखें, फिर एक वर्ष तक बढ़ाएँ।

दूसरी आम गलती यह मानना है कि सर्टिफ़िकेट नया है तो TLS 1.3 भी चालू होगा। सर्टिफ़िकेट और प्रोटोकॉल संस्करण अलग-अलग हैं। केवल TLS 1.2 बोलने वाले सर्वर पर नया सर्टिफ़िकेट भी 95 से नीचे रहता है।

तीसरी है ओरिजिन के आगे CDN। यदि Cloudflare, Fastly या लोड बैलेंसर TLS समाप्त करता है, तो ओरिजिन कॉन्फ़िगरेशन का कोई अर्थ नहीं — ग्रेड एज को दर्शाता है, इसलिए सेटिंग वहीं बदलनी होगी।

स्वयं सत्यापित करें

हर बदलाव टर्मिनल से कुछ सेकंड में पुष्टि हो जाता है। TLS 1.3 तभी तय होता है जब सर्वर वास्तव में देता हो, HSTS रिस्पॉन्स हेडर में दिखता है, और stapling OCSP रिस्पॉन्स ब्लॉक में दिखता है।

# Does the server actually negotiate TLS 1.3?
openssl s_client -connect example.com:443 -tls1_3 -servername example.com </dev/null 2>/dev/null | grep "Protocol"

# Is HSTS set, and for how long?
curl -sI https://example.com | grep -i strict-transport-security

# Is OCSP stapling actually working?
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A2 "OCSP Response"

FAQ