Geçerli Bir Sertifika Neden Yine de F Alabilir

Kilit çok dar bir vaattir

Tarayıcı üç şey doğru olduğunda kilit gösterir: sertifika güvenilen bir köke zincirlenir, ziyaret edilen ana makine adını kapsar ve süresi dolmamıştır. Hepsi bu. Hangi protokol sürümünün sunulduğu, hangi şifrelerin kabul edildiği veya düşürme saldırılarına karşı savunmasızlık hakkında hiçbir şey söylemez.

TLS notu başka bir soru sorar: bu uç nokta ne kadar iyi yapılandırılmış, yalnızca şifreli bağlantı kurup kuramadığı değil.

Düşük puana yol açan altı arıza

İzlediğimiz yirmi bin site arasında en sık gördüğümüz nedenler, kabaca kesinti büyüklüğüne göre.

• •Sertifika süresi geçmiş veya henüz geçerli değil — diğer her şey ne olursa olsun otomatik sıfır.
• •Ana makine adı uyuşmuyor — sertifika geçerli ama başka bir ad için. Alan adı taşımasından sonra veya CDN SNI olmadan paylaşımlı sertifika sunduğunda yaygın.
• •Eksik zincir — ara sertifika yok, bu yüzden bazı istemciler köke giden yol kuramaz. Tarayıcılar bunu çoğu zaman örter; API istemcileri ve mobil yığınlar örtmez.
• •Eski protokoller hâlâ açık — TLS 1.0 veya 1.1’i modern sürümlerle birlikte sunmak, kimse kullanmasa da puanı aşağı çeker.
• •Zayıf şifreler veya ileri gizlilik yok — statik RSA anahtar değişimi, çalınan özel anahtarın kaydedilmiş trafiği çözmesi demektir.
• •El sıkışma başarısız — sunucu probu tamamen reddeder, genellikle katı SNI gereksinimi veya tarayıcı dışı istemcileri engelleyen güvenlik duvarı kuralı yüzünden.

Sırayla teşhis

Önce sertifika sorunlarını yapılandırma sorunlarından ayırın. Sertifika süresi geçmiş veya uyuşmuyorsa, o düzeltilene kadar başka hiçbir şey önemli değildir. Sertifika iyiyse sonra protokol listesine bakın: sertifika geçerliliğinden sonra düşük puanın en büyük katkısı budur.

CertH’deki alan adı raporu, beş puanlama alanından hangisinin puan kaybettiğini belirli kesinti ve çözümle gösterir. Bu genellikle tam bir taramayı elle okumaktan hızlıdır.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

SNI tuzağı

Birçok alan adı barındıran sunucu doğru sertifikayı seçmek için SNI’ye ihtiyaç duyar. Bazı kurulumlar SNI’yi zorunlu kılar ve göndermeyen istemcileri reddeder — tarayıcılar için sorun değil ama izleme araçlarını, eski Java istemcilerini ve bazı API kütüphanelerini bozar. Tarayıcılar normal çalışırken tarayıcı el sıkışma hatası bildiriyorsa önce buna bakın.

FAQ