Come controllare il certificato TLS di un dominio

Perché controllare un certificato TLS

SSL Checker controlla il certificato TLS presentato da un host durante una connessione di rete e raccoglie i dettagli disponibili sul collegamento. È adatto per esaminare un dominio su una porta precisa, leggere le informazioni del certificato o capire perché un tentativo non restituisce i dati attesi.

Il controllo descrive ciò che viene osservato nella connessione effettuata verso l'host indicato. Per questo conviene distinguere i dati del certificato dagli eventuali problemi di collegamento e scegliere con attenzione il nome del servizio che vuoi esaminare. Un dominio può usare porte diverse per servizi diversi, quindi la porta inserita deve corrispondere all'endpoint TLS di interesse.

Procedura per controllare host e porta

1. Inserisci l'host da controllare, ad esempio example.com. Il campo è facoltativo: se non fornisci un valore, viene usato example.com. Un valore esplicitamente vuoto produce invece un errore nei dati restituiti e non avvia la verifica.

2. Inserisci la porta TLS quando non vuoi usare quella predefinita. Se il campo non riceve un valore, viene usata la porta 443. Il valore viene convertito in un numero intero; se la conversione non riesce, viene utilizzata 443.

3. Avvia il controllo dopo aver verificato host e porta. Viene aperta una connessione di rete verso l'host indicato, con un'attesa massima di 10 secondi per la connessione prima del tentativo di handshake TLS. In condizioni normali, la destinazione TCP coincide con l'host fornito.

4. Leggi i dati restituiti se la connessione fornisce un certificato. Il risultato può comprendere soggetto, emittente, identificativo seriale, versione TLS negoziata, cifrario, date di validità, nomi alternativi e conteggi associati.

5. Considera separatamente gli esiti problematici. Errori SSL, mancata risoluzione del nome, connessioni rifiutate e altre eccezioni vengono riportati nei dati del risultato; se non arriva alcun certificato, viene indicata questa condizione.

Come interpretare i dati disponibili

Quando il certificato è disponibile, soggetto ed emittente rappresentano le informazioni riportate dal certificato ricevuto, mentre versione TLS e cifrario riguardano la negoziazione osservata. I nomi alternativi mostrano gli ulteriori nomi associati ai dati raccolti dal collegamento.

Se le date possono essere interpretate, il risultato include il numero intero di giorni rimanenti e gli indicatori relativi a scadenza e validità attuale. Quando l'interpretazione delle date fallisce, questi calcoli restano indisponibili invece di essere prodotti.

Un certificato non restituito non equivale a un errore di connessione: nel primo caso la connessione TLS non fornisce un certificato, mentre nel secondo un problema SSL, di risoluzione o di connessione impedisce di ottenere i dati necessari. Le informazioni raccolte non dimostrano da sole autenticità, conformità o sicurezza del certificato.

Esempio pratico

Vuoi esaminare il certificato TLS esposto dal servizio HTTPS di example.com sulla porta 443.

Inserisci example.com come host e 443 come porta, quindi avvia il controllo della connessione TLS.

Il risultato può contenere soggetto, emittente, seriale, versione TLS, cifrario, date di validità, nomi alternativi, conteggi e indicatori sui giorni rimanenti, se le date sono interpretabili.

Limiti

• Un tentativo può restituire dati di errore oppure nessun certificato se il collegamento non riesce o non ne fornisce uno.
• Date non interpretabili rendono indisponibili i giorni rimanenti e gli indicatori di validità.

Errori comuni

• Host vuoto: una stringa vuota genera un errore e non esegue il controllo; inserisci il nome dell'host oppure ometti il valore per usare example.com.

Domande frequenti

Quale host viene controllato se non inserisco nulla?

Dipende dal modo in cui lasci il campo: senza un valore viene usato example.com, mentre una stringa vuota genera un errore e impedisce il controllo. Per analizzare un dominio diverso, inserisci il relativo host.

Cosa succede se inserisco una porta non valida?

La porta utilizzata è 443 quando il campo non contiene un valore. Se il testo inserito non può essere convertito in un numero intero, viene applicata ancora la porta 443 invece di interrompere il controllo.

Un errore significa che il certificato è scaduto?

Non necessariamente: un errore SSL, di risoluzione del nome o di connessione rifiutata viene riportato come dato di errore. La scadenza riguarda gli indicatori calcolati quando le date del certificato sono interpretabili.