Безопасность

Сканер TLS

Сканируйте поддерживаемые версии TLS, обнаруживайте слабые шифры и оцените конфигурацию HTTPS.

О инструменте «Сканер TLS»

Сканирует TLS-конфигурацию хоста — поддерживаемые версии протокола, наборы шифров и известные уязвимости, — а не просто проверяет, работает ли HTTPS вообще. Сайт может отдавать полностью валидный, не истёкший сертификат, но при этом поддерживать устаревшие протоколы вроде TLS 1.0/1.1 или слабые наборы шифров, что провалит аудит безопасности или проверку PCI compliance. Особенно полезно после миграции сервера или обновления OpenSSL, когда наборы шифров по умолчанию могут измениться без явного вмешательства.

Это сканирование показывает поддерживаемые протоколы и шифры независимо от того, доверенный сертификат или самоподписанный — внутренний сертификат, доверенный локально, может показать здесь полностью современную, безопасную конфигурацию, даже если публичный браузер отклонит его совсем по другой причине.

📖 Подробнее в базе знаний →

Расшифровка оценок

A+ только TLS 1.3, без слабых шифров
A TLS 1.2+, без слабых шифров
C поддерживается TLS 1.0 или 1.1
D нет поддержки TLS 1.2
F принимаются слабые/неисправные шифры

Как выглядит хороший результат

Поддерживаются TLS 1.3 и TLS 1.2, TLS 1.0 и 1.1 отключены (в 2021 году их официально признал устаревшими RFC 8996), шифров NULL, анонимных, RC4, 3DES и EXPORT нет.

Как считается оценка

Оценка	Условие
A+	TLS 1.3 и 1.2, ничего устаревшего, слабых шифров нет
A	TLS 1.2 без TLS 1.3
C	Всё ещё включены TLS 1.0 или 1.1
D	Нет TLS 1.2
F	Принят слабый шифр

Ограничения проверки

Проверка идёт с одного сервера и проверяет указанный хост. Если сайт за CDN, вы видите настройки граничных серверов CDN, а не исходного сервера. Чтобы проверить исходный сервер, укажите его собственное имя или IP.
В современных TLS-библиотеках шифров RC4, DES, 3DES и EXPORT больше нет, поэтому сканер проверяет их с помощью собственного рукопожатия, в котором предлагаются только они. Так видно, примет ли их сервер; полный список всех наборов шифров инструмент не составляет. Для такого списка используйте testssl.sh или nmap --script ssl-enum-ciphers -p 443 example.com.

Как отключить старые протоколы

nginx: ssl_protocols TLSv1.2 TLSv1.3;
Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3
У CDN обычно есть настройка «минимальная версия TLS» — выберите TLS 1.2.

Профиль «intermediate» в Mozilla SSL Configuration Generator — безопасный выбор и для шифров, и для протоколов. Сам сертификат проверит проверка SSL-сертификата.