Vì sao chứng chỉ hợp lệ vẫn có thể bị F

Ổ khóa là một lời hứa rất hẹp

Trình duyệt hiện ổ khóa khi ba điều đúng: chứng chỉ nối tới root tin cậy, phủ đúng tên host đang truy cập, và chưa hết hạn. Chỉ vậy. Không nói gì về phiên bản giao thức được cung cấp, bộ mật mã được chấp nhận, hay khả năng bị tấn công hạ cấp.

Điểm TLS hỏi câu khác: endpoint này được cấu hình tốt đến đâu, chứ không chỉ là nó có thiết lập được kết nối mã hóa hay không.

Sáu lỗi tạo ra điểm thấp

Đây là những nguyên nhân chúng tôi thấy nhiều nhất trong hai mươi nghìn site đang theo dõi, gần đúng theo thứ tự mức trừ điểm.

• •Chứng chỉ hết hạn hoặc chưa hiệu lực — tự động 0 điểm, bất kể mọi thứ khác.
• •Tên host không khớp — chứng chỉ hợp lệ nhưng cho tên khác. Thường gặp sau khi chuyển tên miền hoặc khi CDN phục vụ chứng chỉ dùng chung mà không có SNI.
• •Chuỗi không đầy đủ — thiếu trung gian nên một số client không dựng được đường tới root. Trình duyệt thường che đi; client API và stack di động thì không.
• •Vẫn bật giao thức cũ — cung cấp TLS 1.0 hoặc 1.1 song song bản hiện đại kéo điểm xuống dù không ai dùng.
• •Mật mã yếu hoặc không có bí mật chuyển tiếp — trao đổi khóa RSA tĩnh nghĩa là khóa riêng bị đánh cắp sẽ giải mã được lưu lượng đã ghi.
• •Bắt tay thất bại — máy chủ từ chối hoàn toàn phép dò, thường do yêu cầu SNI nghiêm ngặt hoặc quy tắc tường lửa chặn client không phải trình duyệt.

Chẩn đoán theo thứ tự

Bắt đầu bằng việc tách vấn đề chứng chỉ khỏi vấn đề cấu hình. Nếu chứng chỉ hết hạn hoặc không khớp, mọi thứ khác không quan trọng cho tới khi sửa xong. Nếu chứng chỉ ổn, xem danh sách giao thức tiếp theo: đây là yếu tố lớn nhất gây điểm thấp sau hiệu lực chứng chỉ.

Báo cáo tên miền trên CertH cho biết nhóm nào trong năm nhóm bị mất điểm, kèm mức trừ cụ thể và cách sửa. Thường nhanh hơn đọc toàn bộ bản quét bằng tay.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

Cái bẫy SNI

Máy chủ chứa nhiều tên miền cần SNI để chọn đúng chứng chỉ. Một số cấu hình bắt buộc SNI và từ chối client không gửi — tốt cho trình duyệt nhưng làm hỏng công cụ giám sát, client Java cũ và một số thư viện API. Nếu scanner báo bắt tay thất bại trong khi trình duyệt vẫn bình thường, hãy kiểm tra điều này trước.

FAQ