TLS Tarayıcı
Desteklenen TLS sürümlerini tarayın, zayıf şifreleri tespit edin ve HTTPS yapılandırmanızı değerlendirin.
TLS Tarayıcı Hakkında
Bir sunucunun TLS yapılandırmasını — desteklenen protokol sürümlerini, şifreleme paketlerini ve bilinen zayıflıkları — yalnızca HTTPS'in çalışıp çalışmadığını kontrol etmek yerine tarar. Bir site tamamen geçerli, süresi dolmamış bir sertifika sunarken hala TLS 1.0/1.1 gibi kullanımdan kaldırılmış protokolleri veya bir güvenlik denetimini ya da PCI uyumluluk taramasını geçemeyen zayıf şifreleme paketlerini destekliyor olabilir. Şifreleme paketi varsayılanlarının kimse açıkça değiştirmeden kayabildiği bir sunucu geçişi veya OpenSSL yükseltmesinden sonra özellikle kullanışlıdır.
Bu tarama, sertifikanın güvenilir mi yoksa kendinden imzalı mı olduğuna bakılmaksızın desteklenen protokolleri ve şifreleri raporlar — yerel olarak güvenilen dahili bir sertifika, halka açık bir tarayıcı onu tamamen farklı bir nedenle reddetse bile burada tamamen modern ve güvenli bir yapılandırma gösterebilir.
Not Kılavuzu
A TLS 1.2+, zayıf şifre yok
C TLS 1.0 veya 1.1 destekleniyor
D TLS 1.2 desteği yok
F zayıf/bozuk şifreler kabul ediliyor
İlgili Araçlar
İyi bir sonuç neye benzer
TLS 1.3 ve TLS 1.2 destekleniyor, TLS 1.0 ve 1.1 kapalı (2021'de RFC 8996 ile resmen kullanımdan kaldırıldılar) ve NULL, anonim, RC4, 3DES veya EXPORT şifreleri yok.
Not nasıl hesaplanır
| Not | Koşul |
|---|---|
| A+ | TLS 1.3 ve 1.2, eski protokol yok, zayıf şifre yok |
| A | TLS 1.3 olmadan TLS 1.2 |
| C | TLS 1.0 veya 1.1 hâlâ açık |
| D | TLS 1.2 yok |
| F | Zayıf bir şifre kabul edildi |
Bu taramanın sınırları
- Tek bir sunucudan çalışır ve girdiğiniz host'u test eder. Bir CDN arkasındaysanız gördüğünüz şey kaynak sunucunuz değil, CDN'in uç yapılandırmasıdır. Kaynak sunucuyu test etmek için onun kendi host adını veya IP'sini tarayın.
- Modern TLS kütüphanelerinde RC4, DES, 3DES ve EXPORT şifreleri artık bulunmadığından tarayıcı bunları yalnızca bu şifreleri sunan, kendi oluşturduğu bir el sıkışmayla test eder. Böylece sunucunun bunları kabul edip etmeyeceği görülür; araç tüm şifre takımlarının tam listesini çıkarmaz. Böyle bir liste için
testssl.shveyanmap --script ssl-enum-ciphers -p 443 example.comkullanın.
Eski protokolleri kapatmak
- nginx:
ssl_protocols TLSv1.2 TLSv1.3; - Apache:
SSLProtocol -all +TLSv1.2 +TLSv1.3 - CDN'lerde genellikle bir "minimum TLS sürümü" ayarı bulunur; TLS 1.2 olarak ayarlayın.
Mozilla SSL Configuration Generator'ın "intermediate" profili, hem şifreler hem protokoller için güvenli bir varsayılandır. Sertifikanın kendisini kontrol etmek için SSL sertifika denetleyicisini kullanın.