בדיקת SSL ו-HTTPS

ה-HTTPS שלכם באמת מוגדר נכון?

המנעול לא מספר את כל הסיפור. בדקו את התעודה, התוקף, גרסת ה-TLS, ההפניה מ-HTTP ו-HSTS, וגם תוכן לא מאובטח ששובר את המנעול בשקט.

סריקה פסיבית בלבד. שום בדיקה חודרנית לא מתבצעת בלי האישור שלכם.

מה אנחנו בודקים

  • האם האתר נטען ב-HTTPS והאם http:// מפנה ל-https://.
  • אמינות התעודה וכמה ימים נשארו עד שתפוג.
  • גרסאות TLS ישנות (‏TLS 1.0 ו-1.1 הוצאו משימוש ב-RFC 8996).
  • קיום HSTS וה-max-age שלה.
  • תוכן מעורב: סקריפטים, תמונות או סגנונות שעדיין נטענים ב-HTTP לא מוצפן.

תוקף התעודות הולך ומתקצר

תעודות TLS ציבוריות עוברות לתקופות תוקף קצרות בהרבה, ולכן חידוש אוטומטי הופך להכרחי. אם אתם משתמשים ב-Let’s Encrypt עם certbot, בדקו את החידוש עכשיו:

shell
sudo certbot renew --dry-run

תיקוני ההפניות והתוכן המעורב נמצאים במדריך ה-HTTPS.

צריכים ביקורת TLS מעמיקה יותר?

בעלים מאומתים מקבלים סקירה מלאה של פרוטוקולים וצפנים בסריקה המעמיקה. לבדיקה חד-פעמית מעמיקה של TLS בלבד, Qualys SSL Labs הוא כלי הייחוס, ואנחנו ממליצים עליו.

שאלות נפוצות

איך אדע מתי תעודת ה-SSL שלי פגה?

הריצו את הסריקה החינמית: היא מציגה כמה ימים נשארו ומסמנת תעודות שעומדות לפוג. חשבון חינמי בודק שוב כל חודש.

למה אין מנעול למרות שיש לי תעודה?

בדרך כלל בגלל תוכן מעורב: משהו בדף, לרוב תמונה או סקריפט, עדיין נטען דרך http://. הסריקה מציגה אותו כדי שתתקנו את הכתובת.

כדאי להפעיל HSTS?

כן, אחרי שכל דף ותת-דומיין שאתם משתמשים בהם עובדים ב-HTTPS. התחילו עם max-age קצר והגדילו לשנה כשתהיו בטוחים.

מדריכים עם תיקונים להעתקה

מדריך

HTTPS ותוכן מעורב

אכפו HTTPS עם הפניית 301 אחת, תקנו אזהרות תוכן מעורב, הימנעו מלולאות הפניה ב-Cloudflare ועדכנו קישורי http:// ישנים בוורדפרס עם WP-CLI.

מדריך

HSTS

מה HSTS עושה, למה להתחיל עם max-age קצר, מתי להשתמש ב-includeSubDomains וב-preload, עם שורות להעתקה ל-nginx, ל-Apache ול-Cloudflare.

מדריך

כותרות אבטחה

כותרות אבטחה של HTTP להעתקה ל-nginx, ל-Apache ‏(.htaccess), ל-Cloudflare ולוורדפרס: HSTS, ‏X-Content-Type-Options, הגנה מפני הטמעה במסגרת, Referrer-Policy ו-Permissions-Policy.

מדריך

בדיקת תעודת SSL

בדקו את הגדרות ה־SSL/TLS בשישה שלבים: שרשרת מהימנה, שמות תואמים, תוקף וחידוש אוטומטי, רק TLS 1.2/1.3, הפניה מ־HTTP ל־HTTPS ו־HSTS. פקודות והגדרות ל־nginx ול־Apache.

מדריך

תיקון האזהרה „לא מאובטח”

למה הדפדפן מסמן את האתר שלכם כ„לא מאובטח” ואיך מתקנים את זה סופית: תעודה חינמית, הפניה מ־HTTP ל־HTTPS, כתובות וורדפרס, תוכן מעורב והאזהרה החדשה של כרום לפני דפי HTTP.

מדריך

שגיאות תעודת SSL

מה כל שגיאת תעודה בדפדפן אומרת ואיך מתקנים אותה: תעודה שפגה, שם דומיין שגוי, תעודת ביניים חסרה, גרסאות TLS ישנות ומצבי SSL של Cloudflare, עם פקודות לבדיקה.

עוד בדיקות חינמיות

חינם · מיידי · בלי הרשמה

גלו את הציון שלכם לפני שמישהו אחר יגלה.

סריקה פסיבית בלבד. שום בדיקה חודרנית לא מתבצעת בלי האישור שלכם.

מתחילים בחינם. Pro מ־29$ לחודש (כ־24$ בחיוב שנתי), או דוח מלא חד־פעמי ב־29$. למחירים