Sprawdzanie certyfikatu SSL

Szczegółowa analiza certyfikatu SSL/TLS: ważność, łańcuch, SAN, klucz, podpis.

Sprawdzanie certyfikatu SSL

Sprawdź certyfikat SSL strony tak, jak weryfikuje go przeglądarka: datę ważności i liczbę dni do wygaśnięcia, domeny w certyfikacie (SAN), wystawcę, typ i długość klucza, algorytm podpisu oraz łańcuch wysyłany przez serwer. Jeśli certyfikat wygasł, jest wystawiony na inną nazwę albo serwer nie wysyła certyfikatu pośredniego, sprawdzenie zwróci błąd połączenia.

Data ważności i dni do wygaśnięcia, ostrzeżenie na 30 dni przed końcem

Wystawca, Common Name i wszystkie domeny z SAN

Łańcuch certyfikatów z serwera z datami ważności

Typ i długość klucza, algorytm podpisu

Jak korzystać

Wpisz domenę lub adres strony; port możesz dodać po dwukropku
Sprawdź datę ważności i domeny w SAN
Jeśli zamiast raportu jest błąd, znajdź przyczynę w tabeli poniżej

FAQ

Wpisz domenę w polu powyżej, np. example.com. Narzędzie połączy się przez HTTPS i pokaże datę ważności, wystawcę, domeny w certyfikacie i łańcuch. Niestandardowy port dodaj po dwukropku: example.com:8443.

Najczęściej serwer nie wysyła certyfikatu pośredniego. Niektóre przeglądarki dociągają go same, a nasze sprawdzenie, roboty wyszukiwarek i wielu klientów API już nie. Podepnij pełny łańcuch (fullchain.pem w nginx). Druga częsta przyczyna to certyfikat, który nie obejmuje www lub nazwy, którą sprawdzasz.

Data końca ważności i liczba pozostałych dni są na górze raportu. Gdy zostaje mniej niż 30 dni, baner robi się żółty. Certyfikaty Let's Encrypt są ważne 90 dni i powinny odnawiać się automatycznie.

Nie. Sprawdzany jest sam certyfikat: ważność, nazwy, wystawca, klucz i łańcuch. Wersji TLS, szyfrów, unieważnienia certyfikatu i HSTS tu nie analizujemy.

Nie. *.example.com obejmuje www.example.com i inne subdomeny pierwszego poziomu, ale nie samo example.com. Dlatego obie nazwy zwykle są w SAN; sprawdź listę domen w raporcie.

Co pokazuje sprawdzenie certyfikatu SSL

Narzędzie łączy się ze stroną przez HTTPS (port 443 albo ten podany w adresie, np. example.com:8443), przekazuje nazwę domeny przez SNI i pobiera certyfikat tak samo jak przeglądarka. W raporcie znajdziesz:

Ważność: daty początku i końca oraz liczbę dni do wygaśnięcia. Poniżej 30 dni baner robi się żółty.
Common Name i nazwy alternatywne (SAN), czyli listę domen, dla których wystawiono certyfikat. Przeglądarka sprawdza właśnie SAN.
Wystawcę, czyli urząd certyfikacji: Let's Encrypt, Sectigo, DigiCert, Google Trust Services itd.
Klucz i podpis: typ klucza (RSA lub ECDSA), długość w bitach i algorytm podpisu. Klucz RSA krótszy niż 2048 bitów jest oznaczany jako słaby.
Łańcuch certyfikatów wysyłany przez serwer, z datą ważności każdego ogniwa.
Numer seryjny, wersję certyfikatu i czas nawiązania połączenia.

Sprawdzenie zwróciło błąd połączenia. Dlaczego?

Certyfikat jest weryfikowany według tych samych zasad co w przeglądarce. Jeśli nie przejdzie weryfikacji, połączenie nie zostanie nawiązane i zamiast raportu zobaczysz błąd. Najczęstsze przyczyny:

Przyczyna	Jak to potwierdzić	Co zrobić
Certyfikat wygasł	Przeglądarka informuje, że certyfikat stracił ważność	Odnowić. Przy Let's Encrypt sprawdzić, czy działa automatyczne odnawianie (`certbot renew --dry-run`)
Certyfikat na inną nazwę	Strona działa pod `www`, a certyfikat obejmuje tylko domenę bez `www`, albo odwrotnie	Wystawić certyfikat z obiema nazwami w SAN
Serwer nie wysyła certyfikatu pośredniego	`openssl s_client` (niżej) pokazuje tylko jeden certyfikat	Podpiąć pełny łańcuch: w nginx `fullchain.pem` zamiast `cert.pem`
Niezaufany urząd certyfikacji	Certyfikat wystawił wewnętrzny lub nieznany urząd	Zastąpić certyfikatem publicznego urzędu
Brak HTTPS	Port 443 jest zamknięty, co pokaże skaner portów	Włączyć HTTPS na serwerze lub w panelu hostingu

Niepełny łańcuch jest podstępny. Część przeglądarek sama dociąga brakujący certyfikat pośredni, więc u Ciebie strona działa, a u części odwiedzających, robotów wyszukiwarek i klientów API pojawia się błąd. Nasze sprawdzenie niczego nie dociąga, dlatego taki problem wykryje.

Certyfikat samopodpisany narzędzie akceptuje i pokazuje raport. Łatwo go rozpoznać: wystawcą jest sama domena, a łańcuch ma jedno ogniwo. Przeglądarki wyświetlają przy nim ostrzeżenie, więc nie nadaje się dla publicznej strony.

Jak działa łańcuch certyfikatów

Łańcuch zaczyna się od certyfikatu strony, potem są jeden lub kilka certyfikatów pośrednich, a na końcu certyfikat główny (root), który przeglądarka i system już mają w magazynie zaufanych certyfikatów. Serwer musi wysyłać certyfikat strony i wszystkie pośrednie; głównego wysyłać nie trzeba. Łańcuch sprawdzisz w wierszu poleceń:

openssl s_client -connect example.com:443 -servername example.com -showcerts

Jak długo ważny jest certyfikat SSL

Maksymalny okres ważności publicznych certyfikatów stale się skraca. Do marca 2026 roku wynosił 398 dni, od 15 marca 2026 roku wynosi 200 dni, a zgodnie z harmonogramem CA/Browser Forum spadnie do 100 dni w 2027 roku i do 47 dni w 2029 roku. Let's Encrypt wystawia certyfikaty na 90 dni. Wniosek jest jeden: odnawianie musi być automatyczne, a termin ważności regularnie sprawdzany. Ostrzeżenie na 30 dni przed końcem służy właśnie temu.

www, subdomeny i certyfikat wildcard

Certyfikat musi obejmować wszystkie nazwy, pod którymi działa strona. Wildcard *.example.com obejmuje www.example.com i sklep.example.com, ale nie samo example.com ani głębszego poziomu, np. a.b.example.com. Dlatego w SAN zwykle są i example.com, i *.example.com.

Klucz i algorytm podpisu

RSA 2048 bitów to rozsądne minimum, a ECDSA (zwykle P-256) to nowoczesny wariant z krótszym kluczem przy tej samej sile. Podpis sha256WithRSAEncryption lub ecdsa-with-SHA256 to standard. SHA-1 przeglądarki odrzucają od lat.

Czego to sprawdzenie nie obejmuje

Wersji TLS i zestawów szyfrów, podatności ani unieważnienia certyfikatu (OCSP, CRL).
HSTS i innych nagłówków: do tego służy sprawdzanie nagłówków bezpieczeństwa, a szerszy przegląd daje skaner bezpieczeństwa strony.
Tego, czy http:// przekierowuje na https://: to pokaże sprawdzanie przekierowań.

HTTPS jest dla Google słabym sygnałem rankingowym, ale wygasły certyfikat uderza w ruch od razu: przeglądarka wyświetla ostrzeżenie na całą stronę i odwiedzający rezygnują.