בדיקת SSL ו-HTTPS

ה-HTTPS שלכם באמת מוגדר נכון?

המנעול לא מספר את כל הסיפור. בדקו את התעודה, התוקף, גרסת ה-TLS, ההפניה מ-HTTP ו-HSTS, וגם תוכן לא מאובטח ששובר את המנעול בשקט.

סריקה פסיבית בלבד. שום בדיקה חודרנית לא מתבצעת בלי האישור שלכם.

מה אנחנו בודקים

האם האתר נטען ב-HTTPS והאם http:// מפנה ל-https://.
אמינות התעודה וכמה ימים נשארו עד שתפוג.
גרסאות TLS ישנות (‏TLS 1.0 ו-1.1 הוצאו משימוש ב-RFC 8996).
קיום HSTS וה-max-age שלה.
תוכן מעורב: סקריפטים, תמונות או סגנונות שעדיין נטענים ב-HTTP לא מוצפן.

תוקף התעודות הולך ומתקצר

תעודות TLS ציבוריות עוברות לתקופות תוקף קצרות בהרבה, ולכן חידוש אוטומטי הופך להכרחי. אם אתם משתמשים ב-Let’s Encrypt עם certbot, בדקו את החידוש עכשיו:

shell

sudo certbot renew --dry-run

תיקוני ההפניות והתוכן המעורב נמצאים במדריך ה-HTTPS.

צריכים ביקורת TLS מעמיקה יותר?

בעלים מאומתים מקבלים סקירה מלאה של פרוטוקולים וצפנים בסריקה המעמיקה. לבדיקה חד-פעמית מעמיקה של TLS בלבד, Qualys SSL Labs הוא כלי הייחוס, ואנחנו ממליצים עליו.

שאלות נפוצות

איך אדע מתי תעודת ה-SSL שלי פגה?

הריצו את הסריקה החינמית: היא מציגה כמה ימים נשארו ומסמנת תעודות שעומדות לפוג. חשבון חינמי בודק שוב כל חודש.

למה אין מנעול למרות שיש לי תעודה?

בדרך כלל בגלל תוכן מעורב: משהו בדף, לרוב תמונה או סקריפט, עדיין נטען דרך http://. הסריקה מציגה אותו כדי שתתקנו את הכתובת.

כדאי להפעיל HSTS?

כן, אחרי שכל דף ותת-דומיין שאתם משתמשים בהם עובדים ב-HTTPS. התחילו עם max-age קצר והגדילו לשנה כשתהיו בטוחים.

מדריכים עם תיקונים להעתקה

מדריך

עוד בדיקות חינמיות

חינם · מיידי · בלי הרשמה

גלו את הציון שלכם לפני שמישהו אחר יגלה.