- Головна
- Безкоштовні інструменти
- Перевірка SSL
Перевірка SSL-сертифіката
Дізнайтеся, коли закінчується SSL-сертифікат сайту, хто його видав і чи все гаразд з HTTPS. Безкоштовна перевірка терміну дії без реєстрації.
Перевірено з одного регіону Tenium через публічний API перевірок. Щоб побачити весь ланцюжок, виконайте openssl s_client -connect host:443 -servername host.
Дізнайтеся за 30 днів до закінчення цього сертифікатаSSL-монітор у Tenium за розкладом перевіряє термін дії, ланцюжок і ім’я хоста та сповіщає за 30, 14 і 3 дні. Входить у тариф Starter ($7 на місяць).
Почати безкоштовноЩо показує результат і чого він не показує
Інструмент просить сервіс перевірок Tenium відкрити TLS-з’єднання з портом 443, прочитати сертифікат, який віддає сервер, і завантажити сторінку. Ви отримуєте кількість днів, що залишилися, організацію-видавця, код відповіді HTTPS і приблизну дату закінчення, обчислену з кількості днів, тож похибка може сягати доби. Вердикт стосується лише дат. Він сам не перевіряє ні ланцюжок, ні ім’я хоста, тому дивіться й на клітинку з кодом HTTPS: помилка сертифіката з’явиться там повідомленням, навіть якщо кількість днів виглядає здоровою.
Щоб побачити повну картину, виконайте в терміналі openssl s_client -connect host:443 -servername host. Команда виведе всі сертифікати, які надсилає сервер, у порядку надсилання, — це доказ, потрібний для проблем з ланцюжком.
Помилки ланцюжка словами, якими їх називають клієнти
Браузер може приховати розірваний ланцюжок, а API-клієнт — ні. Ось повідомлення, які ви справді зустрінете:
- "unable to verify the first certificate" або "unable to get local issuer certificate": сервер надіслав кінцевий сертифікат, але не надіслав проміжний. Віддавайте повний файл ланцюжка (fullchain.pem), а не самий лише cert.pem.
- CERT_HAS_EXPIRED або "certificate has expired": дата минула. Спершу продовжте сертифікат, а потім з’ясуйте, чому не спрацювала автоматизація.
- ERR_TLS_CERT_ALTNAME_INVALID або "hostname mismatch": сертифікат чинний, але видано не на це ім’я. Шаблон *.example.com покриває www.example.com, але не сам example.com і не a.b.example.com.
- "self-signed certificate": видавець збігається із суб’єктом. Для внутрішніх інструментів нормально, для будь-чого публічного — помилка.
Чому старі пристрої ламаються, а ваш ноутбук ні
30 вересня 2021 року закінчився термін дії кореневого сертифіката DST Root CA X3, на який спирався старий ланцюжок Let’s Encrypt. Ідеально налаштовані сайти почали видавати помилки клієнтам зі старими сховищами довіри, як-от Android до 7.1.1 та OpenSSL 1.0.x, тоді як сучасні браузери працювали як завжди. Висновок універсальний: ланцюжок, який надсилає ваш сервер, чинний лише тоді, коли в клієнта є кореневий сертифікат, що його підтверджує. Якщо невелика група користувачів скаржиться на попередження про сертифікат, а ви не можете його відтворити, спершу запитайте модель пристрою та версію операційної системи і тільки потім підозрюйте сам сертифікат.
Терміни дії сертифікатів скорочуються
Let’s Encrypt видає сертифікати на 90 днів, а ACME-клієнти зазвичай продовжують їх, коли лишається 30. Загалом для публічно довірених сертифікатів максимальний термін поетапно скорочують: 200 днів з березня 2026 року, 100 днів з березня 2027 року та 47 днів з березня 2029 року — за галузевим правилом, яке погодили браузери. Ручне продовження перестає бути робочим планом, коли сертифікат живе кілька тижнів, а мовчазний збій автоматизації за лічені дні стає простоєм. Покладайтеся на зовнішню перевірку, а не на те, що завдання продовження само повідомить про успіх.
Від разової перевірки до постійного нагляду
SSL-монітор читає сертифікат, який отримують ваші відвідувачі, перевіряє ланцюжок та ім’я хоста й надсилає сповіщення за 30, 14 і 3 дні до закінчення. Він входить у тариф Starter ($7 на місяць) і вище; тариф Free не включає моніторинг сертифікатів. Є те, чого разова перевірка не покаже: сертифікат, який відрізняється між вузлами CDN або між www та голим доменом. Тому додавайте кожне публічне ім’я окремим монітором. Аварійний шлях описує стаття що робити, коли сертифікат прострочено.
Запитання про інструмент
Як перевірити, коли закінчується SSL-сертифікат?
Введіть ім’я хоста вище й прочитайте значення «Днів залишилось», або виконайте в терміналі echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates — він виведе дати notBefore і notAfter.
Чому інструмент показує чинний сертифікат, а браузер — попередження?
Вердикт підсумовує лише дати. Браузер ще перевіряє, чи ланцюжок повний і чи збігається ім’я. Невідповідність імені або недовірений видавець відображається в клітинці з кодом HTTPS, а повний ланцюжок покаже openssl.
Коли найкраще продовжувати сертифікат?
Для 90-денних сертифікатів — приблизно за 60 днів до кінця, щоб лишилося 30 днів на виправлення збоїв. Якщо продовжуєте вручну, робіть тригером 30 днів, що залишилися. Сертифікат, якому лишилося менше 14 днів, хоча автопродовження нібито ввімкнено, має зламане продовження.
Чи перевіряє він проміжні сертифікати?
Безпосередньо ні. Він повідомляє термін дії та видавця кінцевого сертифіката. Відсутній проміжний зазвичай проявляється помилкою в клітинці з кодом HTTPS, але для точного ланцюжка скористайтеся openssl s_client з параметром -showcerts.
Чи можна перевірити порт, відмінний від 443, або внутрішнє ім’я хоста?
Ні. Інструмент підключається до стандартного порту HTTPS лише на публічних іменах. SSL-монітор у Tenium дозволяє вибрати інший порт для сервісів, де TLS починається з першого байта.