Sprawdź, do kiedy ważny jest certyfikat, na jakie adresy go wystawiono i czy ufają mu przeglądarki oraz programy pocztowe. Jeśli coś jest nie tak, podpowiemy, co poprawić.
Dla strony port 443 jest już wpisany, dla poczty i innych usług zmień go. Sprawdzenie trwa kilka sekund.
To samo, co sprawdza przeglądarka, plus ustawienia serwera: stare wersje TLS i przekierowanie z http na https.
Certyfikat wystawia się na konkretne adresy. Jeśli adresu, który otwiera odwiedzający, w nim nie ma, przeglądarka pokaże ostrzeżenie. Certyfikat na example.com nie obejmuje mail.example.com, chyba że ten adres dopisano osobno albo przez gwiazdkę: *.example.com.
Pokazujemy datę wygaśnięcia i liczbę pozostałych dni. Darmowe certyfikaty są ważne kilka miesięcy i odnawiają się same. Jeśli odnawianie przestało działać, zobaczysz to tutaj z wyprzedzeniem, a nie w dniu, w którym strona przestanie się otwierać.
Certyfikat strony jest podpisany certyfikatem pośrednim, a ten — głównym, który jest już wbudowany w przeglądarki i telefony. To właśnie łańcuch. Serwer musi wysyłać go w całości, poza certyfikatem głównym, inaczej część urządzeń nie zaufa certyfikatowi.
Cztery powody, dla których przeglądarka albo program pocztowy ostrzega przed niezabezpieczonym połączeniem.
Serwer wysyła tylko własny certyfikat, bez pośredniego. Dodaj w ustawieniach serwera plik certyfikatów pośrednich, który urząd certyfikacji wydaje razem z certyfikatem. Często nazywa się CA bundle albo chain.
Na przykład na example.com, a strona otwiera się pod www.example.com. Albo na serwerze jest certyfikat hostingu zamiast Twojego. Wystaw certyfikat ze wszystkimi potrzebnymi adresami i zainstaluj go dla tej strony.
Płatnego certyfikatu nie odnowiono albo przestało działać automatyczne odnawianie darmowego. Odnów certyfikat lub wystaw go ponownie i zainstaluj na serwerze.
Utworzył go sam serwer, a nie urząd certyfikacji, dlatego przeglądarki mu nie ufają. Tak bywa zaraz po instalacji serwera albo poczty. Strona i poczta, z których korzystają ludzie, potrzebują certyfikatu od urzędu certyfikacji.
Weź adres serwera i port z ustawień programu pocztowego. Certyfikat sprawdzamy tak samo jak certyfikat strony.
W ustawieniach to „serwer poczty wychodzącej”. Port 465 — szyfrowanie włącza się od razu (programy piszą SSL/TLS). Port 587 — połączenie zaczyna się bez szyfrowania i przechodzi na nie po poleceniu STARTTLS.
To „serwer poczty przychodzącej”. IMAP trzyma wiadomości na serwerze, więc widać je na wszystkich urządzeniach: port 993 albo 143 ze STARTTLS. POP3 pobiera wiadomości na jeden komputer: port 995 albo 110.
Wiadomości od innych serwerów pocztowych przychodzą na port 25. Adres takiego serwera jest zapisany w DNS domeny, w rekordzie MX. Jeśli wpiszesz samą domenę, a nie ma ona własnego serwera, pokażemy serwery z MX.
Dlaczego przeglądarka ostrzega o błędzie, gdy certyfikat jest w porządku, i jak sprawdzić pocztę.
Prawie zawsze serwer nie wysyła certyfikatu pośredniego. Przeglądarka na komputerze często sama uzupełnia łańcuch: pobiera brakujący certyfikat z linku w certyfikacie strony albo pamięta go z innych stron. Wiele telefonów, programów pocztowych i serwisów płatności tego nie potrafi, dlatego błąd widzi tylko część odwiedzających. Nasze sprawdzenie łączy się jak nowy klient bez takiej pamięci i pokaże „Brak certyfikatu pośredniego”.
Nowy plik jest na serwerze, ale serwer go jeszcze nie wczytał: po wymianie certyfikatu trzeba zrestartować serwer WWW albo serwer poczty. Drugi częsty powód to CDN, czyli sieć w rodzaju Cloudflare, która udostępnia stronę odwiedzającym ze swoich serwerów. Wtedy certyfikat, który widzą odwiedzający, ustawia się w CDN. Nie przechowujemy wyników, każde sprawdzenie łączy się z serwerem od nowa.
W ustawieniach programu pocztowego, w sekcjach poczty przychodzącej i wychodzącej: znajdziesz tam serwer, na przykład mail.example.com, port i rodzaj szyfrowania. Jeśli nie masz programu pod ręką, adres i porty zwykle są w instrukcji usługi pocztowej albo w panelu hostingu, w którym założono skrzynkę.
Serwer wysłał certyfikat, którego przeglądarka już nie potrzebuje: łańcuch wcześniej doszedł do zaufanego certyfikatu głównego. Zwykle to stary certyfikat główny zostawiony dla zgodności ze starszymi urządzeniami. Nie jest to błąd, ale można go usunąć z pliku łańcucha.
Nie. Certyfikat wystawia się na nazwę, dlatego sprawdzamy po nazwie. Serwerów w sieciach wewnętrznych nie sprawdzamy: nasz serwer nie łączy się z zamkniętymi sieciami, nawet jeśli nazwa tam prowadzi. Serwer we własnej sieci sprawdzisz poleceniem OpenSSL z dowolnego komputera w tej sieci: openssl s_client -connect mail.example.com:993 -servername mail.example.com -showcerts.
Płatny certyfikat najlepiej odnowić dwa–trzy tygodnie wcześniej: urząd certyfikacji potrzebuje czasu, żeby ponownie sprawdzić domenę, a Ty — żeby zainstalować nowy plik. Darmowy zwykle odnawia się sam mniej więcej miesiąc przed wygaśnięciem. Jeśli do końca zostały mniej niż dwa tygodnie, a certyfikat się nie zmienił, automatyczne odnawianie nie zadziałało. Certyfikat na kolejny okres możesz zamówić u nas.
Nie. Sprawdzenie odpowiada na pytanie, czy strona albo poczta otworzy się bez ostrzeżeń: adresy, ważność, łańcuch, zaufanie, wersje TLS i przekierowanie na https. Unieważnienie certyfikatu, pełną listę szyfrów i podatności w rodzaju Heartbleed sprawdzają serwisy do pełnego audytu serwera, na przykład SSL Labs. Takie sprawdzenie trwa kilka minut.
Na naszym hostingu darmowy certyfikat dla strony jest już w pakiecie, instaluje się i odnawia sam.
Jeśli certyfikat wygasł, ma nie ten adres albo jest samopodpisany, zamów nowy: zwykły albo Wildcard, od Sectigo i RapidSSL. Ponowne wydanie z nowym kluczem jest częścią usługi.
