Сертификат, протокол и история
Проверка сертификата рассказывает об одном конкретном сертификате. Сканер TLS показывает, какие версии протокола и шифры сервер реально согласовывает. Поиск по логам CT показывает все сертификаты, когда-либо существовавшие для домена, включая те, что вы не выпускали сами. Вместе они покрывают большинство вопросов «действительно ли шифрование этого сайта надёжно».
📖 Подробнее — в статье: Ваш сертификат обновился, так почему браузер всё ещё недоволен?
SSL-сертификат — издатель, срок действия, цепочка
SSL-сертификат получает и разбирает сертификат сервера, показывая издателя (удостоверяющий центр), сроки действия, Subject Alternative Names (SAN) и цепочку сертификатов.
Когда использовать: проверка срока истечения до того, как это вызовет сбой; проверка, что новый сертификат покрывает все нужные поддомены через SAN; подтверждение полноты цепочки — отсутствие промежуточного сертификата ломает проверку у некоторых клиентов, даже если браузер не показывает явную ошибку.
Как читать результаты: короткий срок действия (90 дней) — норма для Let's Encrypt и большинства современных центров, это признак автоматического продления, а не тревожный сигнал. Важнее — полна ли цепочка и включает ли список SAN действительно проверяемое имя хоста: продлённый сертификат без нужного поддомена всё равно вызовет предупреждение браузера, даже если «продление прошло успешно».
Сканер TLS — что сервер реально согласовывает
Сканер TLS подключается к серверу и сообщает, какие версии протокола TLS (1.0–1.3) и наборы шифров он поддерживает.
Когда использовать: подтверждение, что старые протоколы (TLS 1.0/1.1) действительно отключены; проверки соответствия требованиям (PCI-DSS и аналогичные стандарты требуют минимальной версии TLS); диагностика, почему старые клиенты не могут подключиться.
Как читать результаты: на современном сервере должны быть доступны только TLS 1.2 и 1.3 — поддержка 1.0 или 1.1 означает, что обновление давно назрело. Среди шифров ищите AES-GCM или ChaCha20; наличие RC4 или 3DES — это реальная уязвимость, а не мелкая деталь стиля.
Поиск по логам CT — публичная запись, от которой нельзя отказаться
Поиск по логам CT ищет по публичным логам Certificate Transparency — реестру, куда обязаны публиковаться все публично доверенные сертификаты — все сертификаты, когда-либо выпущенные для домена, включая забытые поддомены.
Когда использовать: обнаружение неизвестных поддоменов через выпущенные для них сертификаты; выявление неавторизованных или ошибочно выпущенных сертификатов; разведка безопасности в рамках аудита.
Как читать результаты: длинный список истёкших сертификатов — это нормально, логи CT постоянны, а сертификаты обновляются каждые 90 дней – год, и история накапливается быстро. По-настоящему стоит расследовать сертификат от незнакомого центра сертификации или для поддомена, который вы не контролируете — и то, и другое стоит проверить немедленно.
Как это работает вместе
Начните с SSL-сертификата для конкретного домена — он ловит самую частую проблему (истечение, неполная цепочка, неверные SAN). Сканер TLS запускайте отдельно, когда нужно проверить именно уровень протокола: полностью корректный сертификат может стоять на сервере, предлагающем слабые устаревшие версии TLS. К поиску по логам CT обращайтесь, когда вопрос шире одного сертификата — аудит всего, что когда-либо выпускалось для домена, включая то, что вы не делали сами.