تست SSL آنلاین: بررسی گواهی و تاریخ انقضا

وقتی نام دامنه را وارد می‌کنید، فرم به سرور ایران‌کلاد ارسال می‌شود. سرور ابتدا بررسی می‌کند که ورودی یک نام دامنهٔ معتبر باشد؛ پروتکل (https://‎)، مسیر و شمارهٔ پورت پذیرفته نمی‌شوند و اگر آدرس کامل یک صفحه را بچسبانید، فرم پیش از ارسال آن را به نام دامنه کوتاه می‌کند. آی‌پی عمومی IPv4 هم پذیرفته می‌شود، ولی چون گواهی‌ها برای نام دامنه صادر می‌شوند، نتیجهٔ آن معمولاً گواهی پیش‌فرض سرور است. سپس نام دامنه به آدرس IPv4 ترجمه می‌شود و اگر به یک آدرس داخلی یا رزروشده برسد، درخواست رد می‌شود تا ابزار عمومی نتواند برای دسترسی به شبکه‌های خصوصی سوءاستفاده شود.

بعد از آن، سرور با پشتیبانی از SNI به پورت ۴۴۳ همان دامنه وصل می‌شود، حداکثر پنج ثانیه منتظر پاسخ می‌ماند و گواهی ارائه‌شده را دریافت و تجزیه می‌کند. اعتبارسنجی زنجیره عمداً خاموش است؛ چون هدف دیدن گواهی‌های مشکل‌دار است و اگر روشن بود، گواهی منقضی یا خودامضا اصلاً نمایش داده نمی‌شد.

از آنجا که اتصال از داخل ایران برقرار می‌شود، نتیجه نشان می‌دهد کاربران ایرانی همان لحظه چه گواهی‌ای می‌بینند. این برای سایت‌هایی که پشت CDN یا پراکسی هستند مهم است، چون گواهی لبه ممکن است با گواهی روی سرور اصلی فرق داشته باشد.

گزارش ابزار از چند سطر ثابت تشکیل شده است. برچسب رنگی بالای گزارش تعداد روزهای باقی‌مانده را نشان می‌دهد: سبز یعنی سی روز یا بیشتر، کهربایی یعنی کمتر از سی روز و قرمز یعنی گواهی منقضی شده است. زیر آن نمرهٔ کلی و فهرست بررسی‌ها آمده و بعد جزئیات خود گواهی.

نمرهٔ کلی از ۱۰۰ امتیاز تشکیل شده و فقط بر پایهٔ خود گواهی است. بیشترین وزن را اعتبار زمانی دارد: سی روز یا بیشتر ۳۵ امتیاز، چهارده تا سی روز ۲۵، هفت تا چهارده روز ۱۵ و کمتر از یک هفته ۵ امتیاز. الگوریتم امضای SHA-256 یا قوی‌تر ۲۵ امتیاز، تطابق نام دامنه با CN یا یکی از SAN‌ها ۲۰ امتیاز و خودامضا نبودن هم ۲۰ امتیاز دارد.

از جمع امتیازها درجه ساخته می‌شود: ۹۰ به بالا A، از ۷۵ به بالا B، از ۶۰ به بالا C، از ۴۰ به بالا D و کمتر از آن F. دو قانون سخت‌گیرانه هم اعمال می‌شود: گواهی منقضی همیشه F می‌گیرد و گواهی خودامضا هرگز بالاتر از D نمی‌رود، چون در هر دو حالت مرورگر صفحهٔ هشدار نشان می‌دهد و نمرهٔ خوب گمراه‌کننده بود.

بیشتر مشکلاتی که در گزارش می‌بینید چند الگوی تکراری دارند. گواهی منقضی تقریباً همیشه یعنی تمدید خودکار از کار افتاده است؛ مثلاً زمان‌بند certbot حذف شده، پورت ۸۰ برای چالش HTTP بسته است یا رکورد DNS بعد از جابه‌جایی سرور به‌روز نشده. عدم تطابق نام معمولاً وقتی پیش می‌آید که گواهی فقط برای example.com گرفته شده ولی کاربر www.example.com را باز می‌کند، یا برعکس.

گواهی خودامضا معمولاً نشانهٔ نصب تازهٔ وب‌سرور یا پنل مدیریتی است که هنوز گواهی واقعی نگرفته. اگر ابزار پیام «اتصال TLS ناموفق» بدهد، یعنی روی پورت ۴۴۳ اصلاً سرویس HTTPS پاسخ نمی‌دهد؛ با چک‌کنندهٔ پورت باز بودن پورت را بسنجید و با بررسی DNS مطمئن شوید دامنه به IP درست اشاره می‌کند.

صنعت گواهی به‌سمت عمر کوتاه‌تر حرکت می‌کند. گواهی‌های Let's Encrypt از ابتدا ۹۰ روزه بوده‌اند و طبق مصوبهٔ CA/Browser Forum، حداکثر عمر مجاز گواهی‌های عمومی از مارس ۲۰۲۶ به ۲۰۰ روز رسیده است و در سال‌های بعد مرحله‌به‌مرحله تا ۴۷ روز کاهش پیدا می‌کند. یعنی تمدید دستی سالانه عملاً از رده خارج شده است.

نتیجهٔ عملی این است که هر سایت باید فرایند تمدید خودکار داشته باشد و کسی هم بر آن نظارت کند. تست دوره‌ای با همین ابزار، یا هشدار خودکار در سامانهٔ پایش، جلوی این را می‌گیرد که شکست بی‌صدای تمدید به قطعی سایت برسد. آستانهٔ سی روز در ابزار هم دقیقاً برای همین انتخاب شده تا قبل از رسیدن به روزهای بحرانی وقت کافی برای رفع مشکل داشته باشید.

یک برنامهٔ سادهٔ نظارت برای تیم‌های کوچک این است: فهرست همهٔ دامنه‌ها و زیردامنه‌هایی که HTTPS دارند را یک جا نگه دارید، از جمله پنل‌های مدیریتی، API و سرویس‌های جانبی که کمتر دیده می‌شوند. هر ماه همه را با این ابزار تست کنید و هر موردی که برچسب کهربایی گرفت، همان روز بررسی شود. اگر تعداد دامنه‌ها زیاد است، بهتر است تاریخ انقضا را از سامانهٔ پایش بخوانید و برای کمتر از چهارده روز هشدار پیامکی یا ایمیلی تنظیم کنید. فراموش نکنید زیردامنه‌ای که روزی برای تست ساخته شده و فراموش شده، می‌تواند همان جایی باشد که گواهی بی‌صدا منقضی می‌شود.

اگر نمی‌خواهید گواهی را خودتان روی سرور مدیریت کنید، گواهی SSL خودکار ایران‌کلاد این کار را برای رکوردهای پراکسی‌شده انجام می‌دهد. کافی است دامنه در DNS مدیریت‌شده باشد و Edge Proxy را روی رکورد روشن کنید؛ گواهی با اولین درخواست HTTPS صادر می‌شود و پیش از انقضا در پس‌زمینه تمدید می‌شود. وضعیت گواهی‌ها در پنل پایش می‌شود و گواهی‌های ناموفق یا نزدیک به انقضا برجسته نمایش داده می‌شوند.

در این حالت گواهی‌ای که این ابزار از تهران می‌بیند، گواهی لبه است و نه گواهی روی سرور اصلی. برای اطمینان از امنیت مسیر بین لبه و سرور خودتان، صفحهٔ محصول SSL توضیح می‌دهد چه گزینه‌هایی دارید. اگر هنوز دامنه ندارید، از ثبت دامنه شروع کنید؛ زون DNS دامنهٔ جدید به‌طور خودکار ساخته می‌شود.

برخلاف ابزارهای متنی ایران‌کلاد که کاملاً در مرورگر اجرا می‌شوند، تست SSL ذاتاً سمت سرور است: نام دامنه‌ای که وارد می‌کنید به سرور ما فرستاده می‌شود و سرور ما به دامنهٔ هدف وصل می‌شود. پس سرور مقصد یک اتصال TLS از آدرس ایران‌کلاد در لاگ خود می‌بیند. کد این ابزار نتیجه یا نام دامنه را در پایگاه داده ذخیره نمی‌کند و فقط آن را در همان صفحه به شما نشان می‌دهد.

ابزار چند محدودیت روشن دارد: فقط پورت ۴۴۳ بررسی می‌شود، فقط آدرس IPv4 دامنه به کار می‌رود، آی‌پی خام به‌جای دامنه نتیجهٔ قابل اتکایی نمی‌دهد و دامنه‌هایی که به شبکهٔ داخلی اشاره می‌کنند رد می‌شوند. هر بررسی حداکثر پنج ثانیه برای اتصال صبر می‌کند و اگر پاسخ در حدود بیست‌وپنج ثانیه به مرورگر نرسد، فرم پیام فارسی می‌دهد و می‌توانید دوباره امتحان کنید. برای سرویس‌هایی مثل ایمیل روی پورت‌های دیگر یا سرورهای فقط IPv6 باید از ابزار خط فرمان مثل openssl s_client استفاده کنید.

گواهی سالم فقط بخشی از HTTPS امن است. قدم بعدی بررسی هدرهای امنیتی است: با ابزار هدرهای HTTP ببینید آیا HSTS فعال است، Content-Security-Policy دارید و تغییر مسیر از HTTP به HTTPS درست انجام می‌شود. برای اطمینان از تاریخ انقضای خود دامنه، که به اندازهٔ گواهی مهم است، از جست‌وجوی WHOIS استفاده کنید.

اگر سایت شما روی سرور ابری ایران‌کلاد میزبانی می‌شود، می‌توانید گواهی را روی خود سرور با ابزارهای استاندارد نگه دارید یا مدیریت آن را به لبه بسپارید. در هر دو حالت، یک بار در ماه این ابزار را اجرا کنید یا تاریخ انقضا را در سامانهٔ پایش خود ثبت کنید. فهرست همهٔ ابزارهای رایگان را در صفحهٔ ابزارها ببینید.