CertH の評価と SSL Labs：2 つの格付けは何が違うか

両方が測っているもの

CertH も SSL Labs も生きた TLS ハンドシェイクから始め、0〜100 のスコアとアルファベット評価で終わります。どちらも現代的なプロトコルバージョン、強いスイート、有効な証明書、HSTS を評価します。適切に設定されたサイトでは両者はたいてい一致し、片方で A+ ならもう片方でも A+ です。

どちらも期限切れ証明書を小さな減点ではなく致命的な失敗として扱います。証明書が無効なら、残りの設定は意味をなさないからです。

どこで分かれるか

SSL Labs ははるかに深い分析を行います。サーバーが受け付けるすべての暗号スイートを列挙し、模擬クライアントの広いマトリクスを試し、プロトコル固有の癖まで調べます。その深さゆえに完全な評価に数分かかり、単一のハンドシェイクでは見えない問題が時々浮かび上がります。

CertH は 1 回のプローブにつき 1 回のハンドシェイクを行い、実際のクライアントがネゴシエートする内容に、証明書チェーンと HSTS・OCSP ステープリングの有無を加えて採点します。毎日 2 万ドメインを回せるように意図的に浅くしてあり、それがランキングと 90 日履歴を可能にしています。

実務上の違いはこうです。SSL Labs は「このエンドポイントの問題はどれくらい深いか」に答え、CertH は「このエンドポイントは今日、他と比べてどう振る舞うか」に答えます。

食い違うとき

最も多いのは暗号スイートの優先順位が特殊なサイトです。単一のハンドシェイクは 1 つのスイートしかネゴシエートしませんが、SSL Labs はすべてを列挙するので、古いクライアントだけが選ぶ弱いスイートを見つけることがあります。その場合、リスクについては SSL Labs が正確で、現代のブラウザの体験については CertH が正確です。

2 つ目はタイミングです。CertH は毎日スキャンし、SSL Labs は結果をキャッシュします。設定変更が CertH には 1 日以内に現れ、もう一方は前回の評価を表示していることがあります。

両方をどう使うか

監視には CertH を使ってください。評価がいつ下がったか、何が変わったか、同業他社と比べてどこにいるかを教えてくれます。設定を実際に変更していて、変更前後の網羅的な姿を見たいときは SSL Labs を使ってください。

CertH の各ドメインレポートは同じホストの SSL Labs 評価へ直接リンクしているので、ドメインを打ち直さずに行き来できます。

FAQ