Зачем проверять SSL-сертификат и настройки HTTPS
Замок в адресной строке говорит только о том, что соединение зашифровано. Он не показывает, что сертификат истекает через неделю, что сервер до сих пор принимает устаревший TLS 1.0, что сайт по http открывается без перенаправления, а cookie входа в админку передаются без флага Secure. Такие вещи обычно обнаруживаются в худший момент: браузер показывает посетителям красную страницу «Подключение не защищено», формы перестают отправляться, клиенты уходят.
Проверка открывает сайт так же, как браузер, и разбирает, что сервер сообщает о себе: сертификат, поддерживаемые версии протокола, ответы по http и https, заголовки ответа. Заодно смотрим срок регистрации домена — если он закончится, не поможет никакой сертификат.
Что проверяем
| Проверка | Что смотрим | Почему важно |
|---|---|---|
| Срок сертификата | Дата окончания и сколько дней осталось | После окончания браузеры блокируют сайт полноэкранным предупреждением |
| Домен в сертификате | Совпадает ли имя сайта с именами в сертификате, включая www | Сертификат на другой домен вызывает ту же ошибку, что и просроченный |
| Цепочка и центр выдачи | Полная ли цепочка промежуточных сертификатов, кто выдал | Неполная цепочка ломает доступ на части устройств и в программах |
| Версии TLS | Поддерживаются ли TLS 1.2 и 1.3, отключены ли 1.0 и 1.1 | Старые версии протокола признаны небезопасными |
| Редирект http → https | Перенаправляет ли http-версия на защищённую | Иначе часть посетителей и ссылок остаётся на незащищённом адресе |
| HSTS | Заголовок Strict-Transport-Security и его срок | Запрещает браузеру открывать сайт по http, защищает от подмены |
| Защитные заголовки | CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy | Снижают риск внедрения чужих скриптов, кликджекинга и утечки адресов |
| Cookie | Флаги Secure и HttpOnly у cookie сайта | Без них cookie сессии проще перехватить или украсть скриптом |
| Версия сервера | Название и версия веб-сервера или языка в ответе | Подсказывает злоумышленнику, какие уязвимости пробовать |
| Срок домена | Дата окончания регистрации домена | Просроченный домен отключает сайт и почту целиком |
Сертификат: срок, домен и цепочка
Сроки публичных сертификатов постоянно сокращаются. Бесплатные сертификаты Let’s Encrypt выдаются на 90 дней, а по правилам CA/Browser Forum максимальный срок платных сертификатов с 15 марта 2026 года сокращён до 200 дней и дальше будет уменьшаться. Поэтому продлевать вручную раз в год уже не получится: настройте автоматическое продление и контроль срока.
- Истекает меньше чем через 14 дней — проверьте, работает ли автопродление. Частая причина сбоя: перенесли сайт на другой сервер, а задача продления осталась на старом.
- Имя не совпадает — сертификат выпущен на vash-sajt.ru, а сайт открывается и по www.vash-sajt.ru. Перевыпустите сертификат на оба имени.
- Неполная цепочка — на сервере установлен только сам сертификат без промежуточных. В браузере на компьютере сайт может открываться, а на телефоне, в 1С или в платёжном сервисе — нет. Установите файл с полной цепочкой (обычно fullchain).
- Центр выдачи. Мы показываем, кто выдал сертификат. Сертификаты российского Национального удостоверяющего центра признают не все браузеры: если сайт рассчитан на широкую аудиторию, держите рядом сертификат от общепризнанного центра.
TLS, HSTS и защитные заголовки
TLS 1.0 и 1.1 официально признаны устаревшими, и современные браузеры с ними не работают. Если сервер их ещё поддерживает, это не ломает сайт для посетителей, но оставляет лишнюю поверхность для атак и снижает оценку в проверках безопасности. Оставьте TLS 1.2 и 1.3.
Сайт по адресу http:// должен одним редиректом 301 вести на https://. Если редиректа нет, в поиске могут оказаться обе версии, а посетитель по старой ссылке попадает на незащищённую страницу. После того как редирект настроен и все поддомены работают по https, добавьте заголовок HSTS — он заставляет браузер сразу открывать защищённую версию. Начните с небольшого срока max-age и увеличивайте его, когда убедитесь, что всё работает: отменить HSTS у уже запомнивших его браузеров быстро нельзя.
Защитные заголовки и cookie
- Content-Security-Policy (CSP) — список источников, откуда странице разрешено загружать скрипты, стили и картинки. Если на сайт внедрят чужой скрипт, браузер его не выполнит. Собрать политику поможет генератор CSP.
- X-Content-Type-Options: nosniff — запрещает браузеру угадывать тип файла. Простой заголовок, который стоит включить всегда.
- X-Frame-Options (или директива frame-ancestors в CSP) — запрещает показывать ваш сайт внутри чужой страницы, что защищает от кликджекинга.
- Referrer-Policy — ограничивает, какую часть адреса страницы браузер передаёт другим сайтам при переходе. Важно, если в адресах бывают номера заказов или токены.
- Secure и HttpOnly у cookie. Secure не даёт отправлять cookie по http, HttpOnly — читать их из JavaScript. Для cookie входа и сессии оба флага обязательны.
- Версия сервера. Заголовки вида Server: nginx/1.18.0 или X-Powered-By: PHP/7.4 лучше скрыть: сама по себе версия не уязвимость, но упрощает подбор атаки.
Почему подробности открываются после подтверждения владения
Без подтверждения отчёт показывает сводку: сколько критичных находок и сколько предупреждений. Полный список — каких защитных заголовков нет, какая версия сервера видна, какие cookie без флагов — открывается после того, как вы подтвердите, что сайт ваш. Так сделано потому, что эти подробности полезны не только владельцу: недостающие заголовки и открытая версия сервера подсказывают атакующему, с чего начать. Мы не хотим, чтобы проверкой пользовались для сбора таких сведений о чужих сайтах.
- Мета-тег. Добавьте выданный нами мета-тег в раздел head главной страницы.
- Или файл. Положите в корень сайта файл levitsky-verification.txt с выданным кодом, чтобы он открывался по адресу ваш-сайт/levitsky-verification.txt.
- Повторите проверку — подробности откроются. Способ тот же, что в Яндекс Вебмастере, и действует также для проверки уязвимостей CMS и проверки сайта на взлом.
Срок регистрации домена и что проверка не делает
Мы показываем дату окончания регистрации домена, если реестр её отдаёт. Продлевайте домен заранее и включите автопродление у регистратора: после окончания срока сайт и почта перестают работать, а вернуть домен бывает сложно.
- Проверка пассивная. Мы устанавливаем обычное соединение с сайтом и читаем ответы — без подбора паролей, сканирования портов и попыток взлома.
- Не ищет уязвимости в коде. Для этого есть проверка уязвимостей CMS и плагинов и проверка сайта на взлом.
- Смотрит только указанный адрес. Поддомены — личный кабинет, почта, API — проверяйте отдельно.
Лимит — 10 проверок в сутки с одного адреса. Если хотите, чтобы за сертификатом, доменом и доступностью следили постоянно, подключите мониторинг. Настройку TLS, заголовков и сервера целиком мы делаем в рамках услуги защиты сайта и сервера и поддержки сервера. Почту домена проверьте отдельно: SPF, DKIM, DMARC и спам-листы.
Вопросы и ответы
Как проверить SSL-сертификат сайта онлайн?
Введите домен в поле проверки. Мы покажем срок действия, на какие имена выпущен сертификат, кто его выдал и полная ли цепочка, а также версии TLS, редирект на https и защитные заголовки.
Почему браузер пишет «Подключение не защищено»?
Самые частые причины: истёк срок сертификата, он выпущен на другое имя (например, без www), на сервере не установлена полная цепочка или сертификат выдан центром, которому браузер не доверяет. Проверка покажет, что именно.
Нужно ли отключать TLS 1.0 и 1.1?
Да. Эти версии признаны устаревшими, современные браузеры их не используют. Оставьте TLS 1.2 и 1.3.
Что такое HSTS и нужно ли его включать?
Это заголовок, который заставляет браузер открывать сайт только по https. Включайте его после того, как настроен редирект и все поддомены работают по https, начиная с небольшого срока.
Как проверить срок регистрации домена?
Проверка показывает дату окончания регистрации домена, если реестр её публикует. Точные сроки и условия продления смотрите у своего регистратора.
Зачем подтверждать владение сайтом?
Без подтверждения видна только сводка: число критичных находок и предупреждений. Подробности — недостающие защитные заголовки, версия сервера, cookie без флагов — помогают не только владельцу, но и атакующему, поэтому мы показываем их только тому, кто подтвердил сайт мета-тегом на главной или файлом levitsky-verification.txt в корне.
Проверка бесплатная?
Да, без регистрации. Лимит — 10 проверок в сутки с одного адреса.