Mengapa Sertifikat Valid Tetap Bisa Bernilai F

Gembok adalah janji yang sangat sempit

Browser menampilkan gembok ketika tiga hal terpenuhi: sertifikat berantai ke root tepercaya, mencakup nama host yang dikunjungi, dan belum kedaluwarsa. Itu saja. Tidak ada tentang versi protokol yang ditawarkan, cipher yang diterima, atau kerentanan terhadap serangan downgrade.

Nilai TLS mengajukan pertanyaan lain: seberapa baik endpoint ini dikonfigurasi, bukan sekadar apakah ia bisa membangun koneksi terenkripsi.

Enam kegagalan yang menghasilkan nilai rendah

Ini penyebab yang paling sering kami lihat di antara dua puluh ribu situs yang kami pantau, kira-kira menurut besarnya pengurangan.

• •Sertifikat kedaluwarsa atau belum berlaku — otomatis nol, terlepas dari semua hal lain.
• •Nama host tidak cocok — sertifikat valid, tetapi untuk nama lain. Sering setelah migrasi domain atau saat CDN menyajikan sertifikat bersama tanpa SNI.
• •Rantai tidak lengkap — intermediate hilang sehingga sebagian klien tidak bisa membangun jalur ke root. Browser sering menutupinya; klien API dan stack seluler tidak.
• •Protokol warisan masih aktif — TLS 1.0 atau 1.1 ditawarkan bersama versi modern menyeret skor turun meski tak ada yang memakainya.
• •Cipher lemah atau tanpa forward secrecy — pertukaran kunci RSA statis berarti kunci privat yang dicuri mendekripsi lalu lintas yang terekam.
• •Handshake gagal — server menolak probe sepenuhnya, sering karena persyaratan SNI ketat atau aturan firewall yang memblokir klien non-browser.

Mendiagnosis berurutan

Mulailah dengan memisahkan masalah sertifikat dari masalah konfigurasi. Jika sertifikat kedaluwarsa atau tidak cocok, hal lain tidak penting sampai itu diperbaiki. Jika sertifikat baik, lihat daftar protokol berikutnya: ini kontributor terbesar nilai rendah setelah validitas sertifikat.

Laporan domain di CertH menunjukkan area mana dari lima area penilaian yang kehilangan poin, dengan pengurangan spesifik dan perbaikannya. Biasanya lebih cepat daripada membaca pemindaian penuh secara manual.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

Jebakan SNI

Server yang meng-host banyak domain memerlukan SNI untuk memilih sertifikat yang tepat. Sebagian konfigurasi mewajibkannya dan menolak klien yang tidak mengirimnya — baik untuk browser tetapi merusak alat pemantauan, klien Java lama, dan sebagian pustaka API. Jika pemindai melaporkan handshake gagal sementara browser normal, periksa ini dulu.

FAQ