Здоровы ли ваши сертификаты?
Введите домен и мгновенно получите оценку состояния TLS — без регистрации и доступа к серверу
Рейтинг
Глобальный рейтинг здоровья TLS с фильтрами по оценке / отрасли / региону
Бейджи
Одна строка кода, чтобы показать живой SSL-балл вашего домена.
DV, OV, EV и wildcard — мгновенный выпуск, 256-битное шифрование и возврат средств в течение 30 дней.
Как считается оценка
Для серверов SSL/TLS наиболее распространённый и авторитетный стандарт оценки — SSL Server Test от SSL Labs. Он оценивает конфигурацию TLS на стороне сервера, а не сам файл сертификата.
Система оценки объединяет несколько измерений и выдаёт буквенную оценку от A+ до F. CertH отображает результаты своих проверок на ту же семантику оценок.
Классы и значения
Почти идеальная конфигурация: TLS 1.3, стойкие шифры, полная прямая секретность (PFS) и корректно включённый HSTS. Первый выбор для финансов, платежей и других чувствительных сервисов.
Надёжная защита с незначительными недочётами — например, без HSTS preload или без полного использования TLS 1.3. Обычная рекомендуемая оценка.
Приемлемая защита, но с заметными проблемами. По текущим стандартам отсутствие TLS 1.3 ограничивает максимум оценкой A-.
Устранимые проблемы: всё ещё поддерживается TLS 1.1, нет HSTS или нет PFS.
Явные уязвимости: поддержка TLS 1.0 или слабые шифры вроде RC4 / 3DES.
Серьёзные или фатальные недостатки: поддержка SSLv3, устаревшие подписи SHA-1 или ключи RSA 1024 бит.
Критический сбой: эксплуатируемые уязвимости или несовпадение сертификата с именем хоста.
Цепочке сертификатов нельзя доверять, либо оценка относится к сервису STARTTLS.
Общее имя сертификата не совпадает с проверяемым именем хоста.
Пять критериев оценки
Оценка складывается из пяти областей:
Какие версии TLS включены или отключены. Устаревшие протоколы (SSLv2/v3, TLS 1.0/1.1) отнимают баллы — включайте только TLS 1.2 и 1.3.
Стойкость наборов шифров. Отключите пустое шифрование, RC4 и 3DES; предпочитайте AES-GCM и ChaCha20.
Безопасность обмена ключами. Отсутствие прямой секретности (PFS) заметно снижает оценку — предпочитайте наборы ECDHE.
Проверки самого сертификата. Любой сбой (истёк, несовпадение имени и т. п.) может обнулить балл. Убедитесь в достаточной длине ключа (RSA ≥ 2048 бит, ECC ≥ 256 бит) и безопасных алгоритмах подписи, например SHA-256.
Дополнительные механизмы. Включение HSTS и OCSP stapling — ключ к оценке A+.
Полезно знать
- Оценивается конфигурация, а не только сертификатОценка отражает общее состояние TLS — действующий сертификат на неправильно настроенных серверах всё равно даёт низкий балл.
- Стандарты меняютсяSSL Labs регулярно обновляет правила в ответ на новые угрозы — например, недавно повысил вес TLS 1.3 и HSTS.
- Инструменты могут немного расходитьсяРеализации различаются в деталях даже при следовании стандарту SSL Labs (например, как Qualys CertView обходится с прямой секретностью).