Verificador de Certificado SSL/TLS

Por qué esto necesita un servidor

Un navegador solo puede abrir una conexión TLS con un sitio al que realmente está accediendo — no existe una API de JavaScript para abrir un socket TLS crudo contra un host cualquiera a demanda. Leer lo que presenta el servidor de otro dominio necesita una conexión real desde otro lugar, así que el backend de esta herramienta abre el handshake y devuelve solo metadatos de conexión y certificados públicos, nunca nada privado.

Se aplican las mismas protecciones que usan las otras herramientas de red de ProntoUso: cada dirección a la que resuelve el dominio se valida antes de intentar cualquier conexión, y los rangos privados, de loopback y otros internos se rechazan de inmediato. El puerto está limitado a una lista fija en lugar de un campo libre, así que esto no puede usarse como un sondeador de puertos de propósito general contra el servidor de otra persona.

Qué se verifica

La cadena de certificados exactamente como la envía el servidor — cada intermedio que ofrece, sin pasar antes por ningún almacén de confianza. Una segunda conexión, independiente, verifica luego esa cadena contra un almacén de confianza real con la verificación de nombre de host activada, que es lo que realmente determina el resultado 'Confiable para navegadores'.

Además de la cadena: qué versiones de TLS todavía acepta el endpoint (1.0 hasta 1.3), el cifrado negociado y si ofrece forward secrecy, ALPN, una verificación de Strict-Transport-Security (HSTS), una consulta al registro DNS CAA, y si el HTTP simple del mismo dominio redirige a HTTPS.

Por qué varias direcciones IP

Un dominio detrás de un balanceador de carga o una CDN suele resolver a más de una dirección pública, y es perfectamente posible que un nodo esté ejecutando un certificado viejo o una configuración TLS más laxa que el resto. Hasta tres direcciones públicas de un dominio se verifican y califican de forma independiente, con una pestaña para alternar entre ellas, justamente para detectar ese tipo de desvío en lugar de solo reportar la dirección que respondió primero.

Interpretar la calificación

La calificación es una heurística propia de ProntoUso, no un estándar oficial de la industria: empieza en 100 y resta puntos por cada problema encontrado (certificado por expirar, clave débil, protocolo obsoleto todavía activo, HSTS ausente, y así sucesivamente). Un puñado de problemas críticos de confianza — certificado expirado o autofirmado, cadena no confiable, o nombre de host que no coincide — llevan la nota a F de inmediato, sin importar cuán bien puntúe todo lo demás, porque ninguno de esos es algo que un navegador dejaría pasar a un visitante discretamente.

'Confiable para navegadores' se muestra como un resultado sí/no separado, en lugar de estar solo integrado en la nota, porque suele ser el dato específico que la gente vino a verificar.

Qué no verifica esto

El estado de revocación en vivo (OCSP/CRL) no se consulta — verificar eso de forma confiable necesita todo un protocolo adicional que esta herramienta aún no implementa. El soporte de TLS 1.0/1.1 obsoleto se reporta como mejor esfuerzo: un entorno reforzado puede negarse a intentar localmente un protocolo obsoleto, lo cual se refleja aquí igual que si el propio servidor lo rechazara — así que trata un resultado 'no ofrecido' en esas dos versiones específicamente como inconcluso, no como una confirmación.