Verificador de Certificado SSL/TLS

Por que isso precisa de um servidor

Um navegador só consegue abrir uma conexão TLS com um site que ele está de fato acessando — não existe uma API de JavaScript para abrir um socket TLS bruto contra um host qualquer sob demanda. Ler o que o servidor de outro domínio apresenta exige uma conexão real de outro lugar, então o backend desta ferramenta abre o handshake e retorna só metadados de conexão e certificados públicos, nunca nada privado.

As mesmas proteções usadas pelas outras ferramentas de rede do ProntoUso valem aqui: todo endereço para o qual o domínio resolve é verificado antes de qualquer conexão ser tentada, e faixas privadas, de loopback e outras internas são recusadas de imediato. A porta é limitada a uma lista fixa em vez de um campo livre, então isso não pode ser usado como um sondador genérico de portas contra o servidor de outra pessoa.

O que é verificado

A cadeia de certificados exatamente como o servidor a envia — todo intermediário que ele oferece, sem passar antes por nenhum repositório de confiança. Uma segunda conexão, independente, então verifica essa cadeia contra um repositório de confiança real com a verificação de nome de host ativada, que é o que de fato determina o resultado 'Confiável para navegadores'.

Além da cadeia: quais versões de TLS o endpoint ainda aceita (1.0 até 1.3), a cifra negociada e se ela oferece forward secrecy, ALPN, uma verificação de Strict-Transport-Security (HSTS), uma consulta ao registro DNS CAA, e se o HTTP simples do mesmo domínio redireciona para HTTPS.

Por que vários endereços IP

Um domínio atrás de um balanceador de carga ou uma CDN costuma resolver para mais de um endereço público, e é perfeitamente possível que um nó esteja rodando um certificado antigo ou uma configuração TLS mais frouxa que os outros. Até três endereços públicos de um domínio são verificados e avaliados de forma independente, com uma aba para alternar entre eles, justamente para pegar esse tipo de desvio em vez de só reportar o endereço que respondeu primeiro.

Interpretando a nota

A nota é uma heurística própria do ProntoUso, não um padrão oficial da indústria: ela começa em 100 e perde pontos para cada problema encontrado (certificado perto de expirar, chave fraca, protocolo obsoleto ainda ativo, HSTS ausente, e assim por diante). Um punhado de problemas críticos de confiança — certificado expirado ou autoassinado, cadeia não confiável, ou nome de host que não corresponde — força a nota para F de imediato, independente de quão bem tudo o mais pontue, porque nenhum desses é algo que um navegador deixaria um visitante passar discretamente.

'Confiável para navegadores' aparece como um resultado sim/não separado, em vez de só embutido na nota, porque geralmente é o fato específico que as pessoas vieram verificar.

O que isto não verifica

O status de revogação ao vivo (OCSP/CRL) não é consultado — verificar isso de forma confiável exige um protocolo inteiro adicional que esta ferramenta ainda não implementa. O suporte a TLS 1.0/1.1 obsoleto é reportado com melhor esforço: um ambiente reforçado pode recusar até tentar localmente um protocolo obsoleto, o que aparece aqui do mesmo jeito que o próprio servidor recusando — então trate um resultado 'não oferecido' nessas duas versões especificamente como inconclusivo, não como uma confirmação.