Дізнайтеся, до якого числа діє сертифікат, на які адреси його випущено і чи довіряють йому браузери та поштові програми. Якщо щось не так, підкажемо, що виправити.
Для сайту порт 443 уже вписано, для пошти та інших сервісів змініть його. Перевірка триває кілька секунд.
Те саме, що перевіряє браузер, плюс налаштування сервера: старі версії TLS і перехід з http на https.
Сертифікат випускають на конкретні адреси. Якщо адреси, яку відкриває відвідувач, у ньому немає, браузер покаже попередження. Сертифікат на example.com не підходить для mail.example.com, якщо той не вписано окремо або через зірочку: *.example.com.
Показуємо дату закінчення і скільки днів лишилося. Безкоштовні сертифікати діють кілька місяців і продовжуються самі. Якщо продовження зламалося, тут це видно заздалегідь, а не в день, коли сайт перестане відкриватися.
Сертифікат сайту підписано проміжним сертифікатом, а той — кореневим, який уже вбудовано в браузери й телефони. Це і є ланцюжок. Сервер має віддавати його повністю, крім кореневого, інакше частина пристроїв сертифікату не повірить.
Чотири причини, з яких браузер або поштова програма попереджає про небезпечне з’єднання.
Сервер віддає тільки свій сертифікат, без проміжного. Додайте в налаштування сервера файл проміжних сертифікатів, його видає центр сертифікації разом із сертифікатом. Часто він називається CA bundle або chain.
Наприклад, на example.com, а сайт відкривають за www.example.com. Або на сервері стоїть сертифікат хостингу замість вашого. Випустіть сертифікат, у якому є всі потрібні адреси, і встановіть його для цього сайту.
Платний сертифікат забули продовжити, або в безкоштовного перестало працювати автоматичне продовження. Продовжте або випустіть сертифікат заново і встановіть його на сервер.
Його створив сам сервер, а не центр сертифікації, тому браузери йому не довіряють. Так буває одразу після встановлення сервера або пошти. Для сайту й пошти, якими користуються люди, потрібен сертифікат від центру сертифікації.
Візьміть сервер і порт із налаштувань поштової програми. Сертифікат перевіряється так само, як у сайту.
У налаштуваннях це «сервер вихідної пошти». Порт 465 — шифрування вмикається одразу (у програмах пишуть SSL/TLS). Порт 587 — з’єднання починається відкрито і шифрується командою STARTTLS.
Це «сервер вхідної пошти». IMAP зберігає листи на сервері, і їх видно з усіх пристроїв: порт 993 або 143 зі STARTTLS. POP3 забирає листи на один комп’ютер: порт 995 або 110.
Листи від чужих поштових серверів надходять на порт 25. Адресу такого сервера записано в DNS домену, у записі MX. Якщо ввести сам домен, а власного сервера в нього немає, ми покажемо сервери з MX.
Чому браузер попереджає про помилку, коли сертифікат у порядку, і як перевірити пошту.
Майже завжди сервер не віддає проміжний сертифікат. Браузер на комп’ютері часто добудовує ланцюжок сам: завантажує відсутній сертифікат за посиланням із сертифіката сайту або пам’ятає його з інших сайтів. Багато телефонів, поштових програм і платіжних сервісів так не вміють, тому помилку бачить лише частина відвідувачів. Наша перевірка підключається як новий клієнт без такої пам’яті й покаже «Бракує проміжного сертифіката».
Новий файл лежить на сервері, але сервер його ще не підхопив: після заміни сертифіката вебсервер або поштовий сервер треба перезапустити. Друга часта причина — сайт працює через CDN, мережу на кшталт Cloudflare, яка віддає сайт відвідувачам зі своїх серверів. Тоді сертифікат, який бачать відвідувачі, налаштовують у CDN. Результати ми не зберігаємо, кожна перевірка підключається до сервера заново.
У налаштуваннях поштової програми, у розділах вхідної та вихідної пошти: там указано сервер, наприклад mail.example.com, порт і тип шифрування. Якщо поштової програми під рукою немає, адреса й порти зазвичай є в інструкції поштового сервісу або в панелі хостингу, де створено скриньку.
Сервер надіслав сертифікат, який браузеру вже не потрібен: ланцюжок дійшов до довіреного кореневого раніше. Зазвичай це старий кореневий сертифікат, який залишають для сумісності зі старими пристроями. Помилкою це не вважається, але його можна прибрати з файлу ланцюжка.
Ні. Сертифікат випускають на ім’я, тому й перевіряємо ми за ім’ям. Сервери у внутрішніх мережах ми не перевіряємо: наш сервер не підключається до закритих мереж, навіть якщо ім’я веде туди. Сервер у своїй мережі можна перевірити командою OpenSSL з будь-якого комп’ютера в цій мережі: openssl s_client -connect mail.example.com:993 -servername mail.example.com -showcerts.
Платний сертифікат краще продовжити за два-три тижні: центру сертифікації потрібен час, щоб знову перевірити домен, а вам — щоб установити новий файл. Безкоштовний зазвичай продовжується сам приблизно за місяць до закінчення. Якщо до кінця строку менше двох тижнів, а сертифікат не оновився, отже, автоматичне продовження не спрацювало. Сертифікат на новий строк можна замовити в нас.
Ні. Перевірка відповідає на питання, чи відкриється сайт або пошта без попереджень: адреси, строк, ланцюжок, довіра, версії TLS і перехід на https. Відкликання сертифіката, повний список шифрів і вразливості на кшталт Heartbleed перевіряють сервіси для повного аудиту сервера, наприклад SSL Labs. Така перевірка триває кілька хвилин.
На нашому хостингу безкоштовний сертифікат для сайту вже входить у тариф, встановлюється й продовжується сам.
Якщо строк минув, адреса не та або сертифікат самопідписаний, замовте новий: звичайний або Wildcard, від Sectigo і RapidSSL. Перевипуск із новим ключем входить у послугу.
