Узнайте, до какого числа действует сертификат, на какие адреса он выпущен и доверяют ли ему браузеры и почтовые программы. Если что-то не так, подскажем, что исправить.
Для сайта порт 443 уже вписан, для почты и других сервисов поменяйте его. Проверка займёт несколько секунд.
То же, что проверяет браузер, плюс настройки сервера: старые версии TLS и переход с http на https.
Сертификат выпускают на конкретные адреса. Если адреса, который открывает посетитель, в нём нет, браузер покажет предупреждение. Сертификат на example.com не подходит для mail.example.com, если тот не вписан отдельно или через звёздочку: *.example.com.
Показываем дату окончания и сколько дней осталось. Бесплатные сертификаты действуют несколько месяцев и продлеваются сами. Если продление сломалось, здесь это видно заранее, а не в день, когда сайт перестанет открываться.
Сертификат сайта подписан промежуточным сертификатом, а тот — корневым, который уже встроен в браузеры и телефоны. Это и есть цепочка. Сервер обязан отдавать её целиком, кроме корневого, иначе часть устройств сертификату не поверит.
Четыре причины, по которым браузер или почтовая программа предупреждает о небезопасном соединении.
Сервер отдаёт только свой сертификат, без промежуточного. Добавьте в настройки сервера файл промежуточных сертификатов, его выдаёт центр сертификации вместе с сертификатом. Часто он называется CA bundle или chain.
Например, на example.com, а сайт открывают по www.example.com. Или на сервере стоит сертификат хостинга вместо вашего. Выпустите сертификат, в котором есть все нужные адреса, и установите его для этого сайта.
Платный сертификат забыли продлить, или у бесплатного перестало работать автоматическое продление. Продлите или выпустите сертификат заново и установите его на сервер.
Его создал сам сервер, а не центр сертификации, поэтому браузеры ему не доверяют. Так бывает сразу после установки сервера или почты. Для сайта и почты, которыми пользуются люди, нужен сертификат от центра сертификации.
Возьмите адрес сервера и порт из настроек почтовой программы. Сертификат проверяется так же, как у сайта.
В настройках это «сервер исходящей почты». Порт 465 — шифрование включается сразу (в программах пишут SSL/TLS). Порт 587 — соединение начинается открыто и шифруется по команде STARTTLS.
Это «сервер входящей почты». IMAP хранит письма на сервере, и они видны со всех устройств: порт 993 или 143 со STARTTLS. POP3 забирает письма на один компьютер: порт 995 или 110.
Письма от чужих почтовых серверов приходят на порт 25. Адрес такого сервера записан в DNS домена, в записи MX. Если ввести сам домен, а у него нет своего сервера, мы покажем серверы из MX.
Почему браузер предупреждает об ошибке, когда сертификат в порядке, и как проверить почту.
Почти всегда сервер не отдаёт промежуточный сертификат. Браузер на компьютере часто достраивает цепочку сам: скачивает недостающий сертификат по ссылке из сертификата сайта или помнит его с других сайтов. Многие телефоны, почтовые программы и платёжные сервисы так не умеют, поэтому ошибка видна только у части посетителей. Наша проверка подключается как новый клиент без такой памяти и покажет «Не хватает промежуточного сертификата».
Новый файл лежит на сервере, но сервер его ещё не подхватил: после замены сертификата веб-сервер или почтовый сервер нужно перезапустить. Вторая частая причина — сайт работает через CDN, сеть вроде Cloudflare, которая отдаёт сайт посетителям со своих серверов. Тогда сертификат, который видят посетители, настраивается в CDN. Результаты мы не храним, каждая проверка подключается к серверу заново.
В настройках почтовой программы, в разделах входящей и исходящей почты: там указаны сервер, например mail.example.com, порт и тип шифрования. Если почтовой программы под рукой нет, адрес и порты обычно есть в инструкции почтового сервиса или в панели хостинга, где заведён ящик.
Сервер прислал сертификат, который браузеру уже не нужен: цепочка дошла до доверенного корневого раньше. Обычно это старый корневой сертификат, который оставляют для совместимости со старыми устройствами. Ошибкой это не считается, но его можно убрать из файла цепочки.
Нет. Сертификат выпускают на имя, поэтому и проверяем мы по имени. Серверы во внутренних сетях мы не проверяем: наш сервер не подключается к закрытым сетям, даже если имя ведёт туда. Сервер в своей сети можно проверить командой OpenSSL с любого компьютера в этой сети: openssl s_client -connect mail.example.com:993 -servername mail.example.com -showcerts.
Платный сертификат лучше продлить за две-три недели: центру сертификации нужно время, чтобы снова проверить домен, а вам — чтобы установить новый файл. Бесплатный обычно продлевается сам примерно за месяц до окончания. Если до конца срока меньше двух недель, а сертификат не обновился, значит, автоматическое продление не сработало. Сертификат на новый срок можно заказать у нас.
Нет. Проверка отвечает на вопрос, откроется ли сайт или почта без предупреждений: адреса, срок, цепочка, доверие, версии TLS и переход на https. Отзыв сертификата, полный список шифров и уязвимости вроде Heartbleed проверяют сервисы для полного аудита сервера, например SSL Labs. Такая проверка идёт несколько минут.
На нашем хостинге бесплатный сертификат для сайта уже входит в тариф, устанавливается и продлевается сам.
Если срок истёк, адрес не тот или сертификат самоподписанный, закажите новый: обычный или Wildcard, от Sectigo и RapidSSL. Перевыпуск с новым ключом входит в услугу.
