Перевірка SSL-сертифіката

Детальний аналіз SSL/TLS сертифіката: термін дії, ланцюжок, SAN, ключ, підпис.

Перевірка SSL-сертифіката

Перевірте SSL-сертифікат сайту так само, як його перевіряє браузер: строк дії та скільки днів лишилося, домени в сертифікаті (SAN), видавець, тип і довжина ключа, алгоритм підпису та ланцюжок, який віддає сервер. Якщо сертифікат прострочений, випущений на інше ім'я або сервер не віддає проміжний сертифікат, перевірка поверне помилку з'єднання.

Строк дії та дні до завершення, попередження за 30 днів

Видавець, Common Name і всі домени з SAN

Ланцюжок сертифікатів від сервера зі строками

Тип і довжина ключа, алгоритм підпису

Як користуватися

Введіть домен або адресу сторінки; порт можна додати через двокрапку
Перегляньте строк дії та домени в SAN
Якщо замість звіту помилка — розберіть причину за таблицею нижче

FAQ

Введіть домен у поле вище, наприклад example.com. Інструмент підключиться через HTTPS і покаже строк дії, видавця, домени в сертифікаті та ланцюжок. Нестандартний порт можна вказати через двокрапку: example.com:8443.

Найчастіше сервер не віддає проміжний сертифікат. Деякі браузери довантажують його самі, а наша перевірка, пошукові боти й багато API-клієнтів — ні. Підключіть повний ланцюжок (fullchain.pem у nginx). Друга часта причина — сертифікат не покриває www чи інше ім'я, за яким ви перевіряєте.

Дата завершення й кількість днів, що лишилися, показані вгорі звіту. Якщо лишилося менше 30 днів, банер стає жовтим. Сертифікати Let's Encrypt діють 90 днів і мають продовжуватися автоматично.

Ні. Перевіряється сам сертифікат: строк, імена, видавець, ключ і ланцюжок. Версії TLS, шифри, відкликання сертифіката та HSTS тут не аналізуються.

Ні. *.example.com покриває www.example.com та інші піддомени першого рівня, але не сам example.com. Тому обидва імені зазвичай указують у SAN — перевірте список доменів у звіті.

Що показує перевірка SSL-сертифіката

Інструмент підключається до сайту через HTTPS (порт 443 або той, що вказаний в адресі, наприклад example.com:8443), передає ім'я домену через SNI й отримує сертифікат так само, як браузер. У звіті:

Строк дії: дати початку й завершення та скільки днів лишилося. Якщо менше 30 днів, банер стає жовтим.
Common Name і альтернативні імена (SAN) — список доменів, для яких випущено сертифікат. Браузер дивиться саме на SAN.
Видавець — центр сертифікації: Let's Encrypt, Sectigo, DigiCert, Google Trust Services тощо.
Ключ і підпис: тип ключа (RSA або ECDSA), довжина в бітах і алгоритм підпису. RSA коротший за 2048 біт позначається як слабкий.
Ланцюжок сертифікатів, який віддає сервер, зі строком дії кожної ланки.
Серійний номер, версія сертифіката й час встановлення з'єднання.

Перевірка видала помилку з'єднання. Чому

Сертифікат перевіряється за тими самими правилами, що й у браузері. Якщо він не проходить перевірку, з'єднання не встановлюється, і замість звіту ви бачите помилку. Найчастіші причини:

Причина	Як переконатися	Що зробити
Сертифікат прострочений	Браузер пише, що строк дії сертифіката минув	Перевипустити. Для Let's Encrypt перевірити, чи працює автопродовження (`certbot renew --dry-run`)
Сертифікат на інше ім'я	Сайт відкривається з `www`, а сертифікат лише на домен без `www`, або навпаки	Випустити сертифікат з обома іменами в SAN
Сервер не віддає проміжний сертифікат	`openssl s_client` (нижче) показує лише один сертифікат	Підключити повний ланцюжок: у nginx — `fullchain.pem`, а не `cert.pem`
Недовірений центр сертифікації	Сертифікат випустив внутрішній чи невідомий центр	Замінити на сертифікат публічного центру
HTTPS не налаштовано	Порт 443 закритий — видно в перевірці портів	Увімкнути HTTPS на сервері чи в хостингу

Неповний ланцюжок підступний: частина браузерів уміє сама довантажити відсутній проміжний сертифікат, тож у вас сайт відкривається нормально, а в частини відвідувачів, пошукових ботів і API-клієнтів — з помилкою. Наша перевірка нічого не довантажує, тому таку проблему покаже.

Самопідписаний сертифікат інструмент приймає й показує звіт. Розпізнати його просто: видавець збігається із самим доменом, а в ланцюжку одна ланка. Браузери на такий сертифікат видають попередження, для публічного сайту він не годиться.

Як влаштований ланцюжок сертифікатів

Ланцюжок починається із сертифіката сайту, далі йдуть один або кілька проміжних, а закінчується кореневим, який уже є у сховищі браузера й операційної системи. Сервер має віддавати сертифікат сайту та всі проміжні; кореневий віддавати не потрібно. Перевірити ланцюжок з командного рядка:

openssl s_client -connect example.com:443 -servername example.com -showcerts

Скільки діє SSL-сертифікат

Максимальний строк публічних сертифікатів поступово скорочується. До березня 2026 року він становив 398 днів, з 15 березня 2026 року — 200 днів, а за рішенням CA/Browser Forum зменшиться до 100 днів у 2027 році й до 47 днів у 2029-му. Let's Encrypt видає сертифікати на 90 днів. Висновок один: продовження має бути автоматичним, а перевірка строку — регулярною. Попередження за 30 днів у звіті розраховане саме на це.

www, піддомени та wildcard

Сертифікат має покривати всі імена, за якими відкривається сайт. Wildcard *.example.com покриває www.example.com і shop.example.com, але не сам example.com і не другий рівень вкладеності на кшталт a.b.example.com. Тому в SAN зазвичай вказують і example.com, і *.example.com.

Ключ і алгоритм підпису

RSA 2048 біт — нормальний мінімум, ECDSA (зазвичай P-256) — сучасний варіант із коротшим ключем за тієї самої стійкості. Підпис sha256WithRSAEncryption або ecdsa-with-SHA256 — норма. SHA-1 браузери давно не приймають.

Чого ця перевірка не робить

Не перевіряє версії TLS і набори шифрів, вразливості та відкликання сертифіката (OCSP, CRL).
Не перевіряє HSTS та інші заголовки — для цього є перевірка заголовків безпеки, а загальний аналіз дає сканер безпеки сайту.
Не перевіряє, чи перенаправляє http:// на https://, — це покаже перевірка редиректів.

HTTPS для Google — слабкий сигнал ранжування, але прострочений сертифікат б'є по трафіку одразу: браузер показує повноекранне попередження, і відвідувачі йдуть.