- Главная
- Бесплатные инструменты
- Проверка SSL
Проверка SSL-сертификата
Узнайте, когда истекает SSL-сертификат сайта, кто его выдал и всё ли в порядке с HTTPS. Бесплатная проверка срока действия без регистрации.
Проверено из одного региона Tenium через публичный API проверок. Чтобы увидеть всю цепочку, выполните openssl s_client -connect host:443 -servername host.
Узнайте за 30 дней до окончания этого сертификатаSSL-монитор в Tenium по расписанию проверяет срок действия, цепочку и имя хоста и оповещает за 30, 14 и 3 дня. Входит в тариф Starter ($7 в месяц).
Начать бесплатноЧто показывает результат и чего он не показывает
Инструмент просит сервис проверок Tenium открыть TLS-соединение с портом 443, прочитать сертификат, который отдаёт сервер, и загрузить страницу. Вы получаете число оставшихся дней, организацию-издателя, код ответа HTTPS и приблизительную дату окончания, вычисленную из числа дней, так что погрешность может достигать суток. Вердикт касается только дат. Он сам не проверяет ни цепочку, ни имя хоста, поэтому смотрите и на ячейку с кодом HTTPS: ошибка сертификата появится там сообщением, даже если число дней выглядит здоровым.
Чтобы увидеть полную картину, выполните в терминале openssl s_client -connect host:443 -servername host. Команда выведет все сертификаты, которые отправляет сервер, в порядке отправки, — это доказательство, нужное при проблемах с цепочкой.
Ошибки цепочки словами, которыми их называют клиенты
Браузер может скрыть разорванную цепочку, а API-клиент — нет. Вот сообщения, которые вы действительно встретите:
- "unable to verify the first certificate" или "unable to get local issuer certificate": сервер отправил конечный сертификат, но не отправил промежуточный. Отдавайте полный файл цепочки (fullchain.pem), а не один только cert.pem.
- CERT_HAS_EXPIRED или "certificate has expired": дата прошла. Сначала продлите сертификат, а потом выясняйте, почему не сработала автоматизация.
- ERR_TLS_CERT_ALTNAME_INVALID или "hostname mismatch": сертификат действителен, но выдан не на это имя. Шаблон *.example.com покрывает www.example.com, но не сам example.com и не a.b.example.com.
- "self-signed certificate": издатель совпадает с субъектом. Для внутренних инструментов нормально, для чего-либо публичного — ошибка.
Почему старые устройства ломаются, а ваш ноутбук нет
30 сентября 2021 года истёк срок действия корневого сертификата DST Root CA X3, на который опиралась старая цепочка Let’s Encrypt. Идеально настроенные сайты начали выдавать ошибки клиентам со старыми хранилищами доверия, например Android до 7.1.1 и OpenSSL 1.0.x, тогда как современные браузеры работали как обычно. Вывод универсальный: цепочка, которую отправляет ваш сервер, действительна только тогда, когда у клиента есть корневой сертификат, который её подтверждает. Если небольшая группа пользователей жалуется на предупреждения о сертификате, а вы не можете их воспроизвести, сначала спросите модель устройства и версию операционной системы и только потом подозревайте сам сертификат.
Сроки жизни сертификатов сокращаются
Let’s Encrypt выдаёт сертификаты на 90 дней, а ACME-клиенты обычно продлевают их, когда остаётся 30. В целом для публично доверенных сертификатов максимальный срок поэтапно сокращают: 200 дней с марта 2026 года, 100 дней с марта 2027 года и 47 дней с марта 2029 года — по отраслевому правилу, которое согласовали браузеры. Ручное продление перестаёт быть рабочим планом, когда сертификат живёт несколько недель, а молчаливый сбой автоматизации за считаные дни превращается в простой. Полагайтесь на внешнюю проверку, а не на то, что задача продления сама сообщит об успехе.
От разовой проверки к постоянному наблюдению
SSL-монитор читает сертификат, который получают ваши посетители, проверяет цепочку и имя хоста и отправляет оповещения за 30, 14 и 3 дня до окончания. Он входит в тариф Starter ($7 в месяц) и выше; тариф Free не включает мониторинг сертификатов. Есть то, чего разовая проверка не покажет: сертификат, который отличается между узлами CDN или между www и голым доменом. Поэтому добавляйте каждое публичное имя отдельным монитором. Аварийный путь описывает статья что делать, когда сертификат просрочен.
Вопросы об инструменте
Как проверить, когда истекает SSL-сертификат?
Введите имя хоста выше и прочитайте значение «Дней осталось», либо выполните в терминале echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates — он выведет даты notBefore и notAfter.
Почему инструмент показывает действительный сертификат, а браузер — предупреждение?
Вердикт подводит итог только по датам. Браузер ещё проверяет, полная ли цепочка и совпадает ли имя. Несоответствие имени или недоверенный издатель отображается в ячейке с кодом HTTPS, а полную цепочку покажет openssl.
Когда лучше продлевать сертификат?
Для 90-дневных сертификатов — примерно за 60 дней до конца, чтобы осталось 30 дней на исправление сбоев. Если продлеваете вручную, сделайте триггером 30 оставшихся дней. Сертификат, у которого осталось меньше 14 дней, хотя автопродление якобы включено, имеет сломанное продление.
Проверяет ли он промежуточные сертификаты?
Напрямую нет. Он сообщает срок действия и издателя конечного сертификата. Отсутствующий промежуточный обычно проявляется ошибкой в ячейке с кодом HTTPS, но для точной цепочки воспользуйтесь openssl s_client с параметром -showcerts.
Можно ли проверить порт, отличный от 443, или внутреннее имя хоста?
Нет. Инструмент подключается к стандартному порту HTTPS только на публичных именах. SSL-монитор в Tenium позволяет выбрать другой порт для сервисов, где TLS начинается с первого байта.