Проверка SSL-сертификата

Детальный анализ SSL/TLS сертификата: срок действия, цепочка, SAN, ключ, подпись.

Проверка SSL-сертификата

Проверьте SSL-сертификат сайта так же, как его проверяет браузер: срок действия и сколько дней осталось, домены в сертификате (SAN), издатель, тип и длина ключа, алгоритм подписи и цепочка, которую отдаёт сервер. Если сертификат истёк, выпущен на другое имя или сервер не отдаёт промежуточный сертификат, проверка вернёт ошибку соединения.

Срок действия и дни до истечения, предупреждение за 30 дней

Издатель, Common Name и все домены из SAN

Цепочка сертификатов от сервера со сроками

Тип и длина ключа, алгоритм подписи

Как пользоваться

Введите домен или адрес страницы; порт можно добавить через двоеточие
Посмотрите срок действия и домены в SAN
Если вместо отчёта ошибка — разберите причину по таблице ниже

FAQ

Введите домен в поле выше, например example.com. Инструмент подключится по HTTPS и покажет срок действия, издателя, домены в сертификате и цепочку. Нестандартный порт можно указать через двоеточие: example.com:8443.

Чаще всего сервер не отдаёт промежуточный сертификат. Некоторые браузеры догружают его сами, а наша проверка, поисковые боты и многие API-клиенты — нет. Подключите полную цепочку (fullchain.pem в nginx). Вторая частая причина — сертификат не покрывает www или другое имя, по которому вы проверяете.

Дата окончания и число оставшихся дней показаны вверху отчёта. Если осталось меньше 30 дней, баннер становится жёлтым. Сертификаты Let's Encrypt действуют 90 дней и должны продлеваться автоматически.

Нет. Проверяется сам сертификат: срок, имена, издатель, ключ и цепочка. Версии TLS, шифры, отзыв сертификата и HSTS здесь не анализируются.

Нет. *.example.com покрывает www.example.com и другие поддомены первого уровня, но не сам example.com. Поэтому оба имени обычно указывают в SAN — проверьте список доменов в отчёте.

Что показывает проверка SSL-сертификата

Инструмент подключается к сайту по HTTPS (порт 443 или тот, что указан в адресе, например example.com:8443), передаёт имя домена через SNI и забирает сертификат так же, как это делает браузер. В отчёте:

Срок действия: даты начала и окончания и сколько дней осталось. Если меньше 30 дней, баннер становится жёлтым.
Common Name и альтернативные имена (SAN) — список доменов, для которых выпущен сертификат. Браузер смотрит именно на SAN.
Издатель — удостоверяющий центр: Let's Encrypt, Sectigo, DigiCert, Google Trust Services и т. д.
Ключ и подпись: тип ключа (RSA или ECDSA), длина в битах и алгоритм подписи. RSA короче 2048 бит помечается как слабый.
Цепочка сертификатов, которую отдаёт сервер, со сроком действия каждого звена.
Серийный номер, версия сертификата и время установки соединения.

Проверка выдала ошибку соединения. Почему

Сертификат проверяется по тем же правилам, что и в браузере. Если он не проходит проверку, соединение не устанавливается и вместо отчёта вы видите ошибку. Самые частые причины:

Причина	Как убедиться	Что сделать
Сертификат истёк	Браузер показывает «Срок действия сертификата истёк»	Перевыпустить. Для Let's Encrypt проверить, работает ли автопродление (`certbot renew --dry-run`)
Сертификат на другое имя	Сайт открывается по `www`, а сертификат только на домен без `www`, или наоборот	Выпустить сертификат с обоими именами в SAN
Сервер не отдаёт промежуточный сертификат	`openssl s_client` (ниже) показывает только один сертификат	Подключить полную цепочку: в nginx — `fullchain.pem`, а не `cert.pem`
Недоверенный удостоверяющий центр	Сертификат выпущен внутренним или неизвестным центром	Заменить на сертификат публичного центра
HTTPS не настроен	Порт 443 закрыт — видно в проверке портов	Включить HTTPS на сервере или у хостинга

Неполная цепочка коварна: часть браузеров умеет сама догрузить недостающий промежуточный сертификат, поэтому у вас сайт открывается нормально, а у части посетителей, поисковых ботов и API-клиентов — с ошибкой. Наша проверка ничего не догружает, поэтому такую проблему покажет.

Самоподписанный сертификат инструмент принимает и показывает отчёт. Узнать его просто: издатель совпадает с самим доменом, а в цепочке одно звено. Браузеры на такой сертификат выдают предупреждение, для публичного сайта он не годится.

Как устроена цепочка сертификатов

Цепочка начинается с сертификата сайта, дальше идут один или несколько промежуточных сертификатов, а заканчивается она корневым, который уже есть в хранилище браузера и операционной системы. Сервер обязан отдавать сертификат сайта и все промежуточные; корневой отдавать не нужно. Проверить цепочку из командной строки:

openssl s_client -connect example.com:443 -servername example.com -showcerts

Сколько действует SSL-сертификат

Максимальный срок публичных сертификатов последовательно сокращается. До марта 2026 года он составлял 398 дней, с 15 марта 2026 года — 200 дней, а по решению CA/Browser Forum сократится до 100 дней в 2027 году и до 47 дней в 2029-м. Let's Encrypt выдаёт сертификаты на 90 дней. Вывод один: продление должно быть автоматическим, а проверка срока — регулярной. Предупреждение за 30 дней в отчёте рассчитано именно на это.

www, поддомены и wildcard

Сертификат должен покрывать все имена, по которым открывается сайт. Wildcard *.example.com покрывает www.example.com и shop.example.com, но не сам example.com и не второй уровень вложенности вроде a.b.example.com. Поэтому в SAN обычно указывают и example.com, и *.example.com.

Ключ и алгоритм подписи

RSA 2048 бит — нормальный минимум, ECDSA (обычно P-256) — современный вариант с меньшим ключом при той же стойкости. Подпись sha256WithRSAEncryption или ecdsa-with-SHA256 — норма. SHA-1 браузеры давно не принимают.

Чего эта проверка не делает

Не проверяет версии TLS и наборы шифров, уязвимости и отзыв сертификата (OCSP, CRL).
Не проверяет HSTS и другие заголовки — для этого есть проверка заголовков безопасности, а общий разбор даёт сканер безопасности сайта.
Не проверяет, перенаправляет ли http:// на https://, — это покажет проверка редиректов.

HTTPS для Google — слабый сигнал ранжирования, но истёкший сертификат бьёт по трафику сразу: браузер показывает полноэкранное предупреждение, и посетители уходят.