¿Gozan de buena salud las firmas de tu dominio?
Introduce un dominio y nuestro servidor inspecciona su configuración TLS como lo haría un cliente estricto: la cadena de certificados y sus algoritmos de firma, las versiones del protocolo, la vida útil y la preparación para lo que viene, todo resumido en una calificación de A+ a F, con una insignia que puedes poner en un README.
Esta comprobación se ejecuta desde nuestro servidor: el nombre de dominio que introduces se envía a ecdsa.com y nos conectamos al puerto 443 de ese dominio. No se recopila nada más.
Qué se comprueba
Algoritmos de firma
Qué algoritmo firma el certificado y qué clave se certifica en él —curva ECDSA, tamaño RSA, Ed25519 o un ML-DSA poscuántico— y si todavía interviene algún hash roto (SHA-1, MD5).
Cadena de certificados
La cadena exactamente como la sirve el servidor: si cada enlace emisor → sujeto coincide, si falta un intermedio, si el certificado hoja es autofirmado.
Versiones del protocolo
Si el handshake llega a TLS 1.3 y, con un handshake aparte y deliberadamente anticuado, si aún se aceptan las versiones obsoletas TLS 1.0/1.1.
Vida útil y rotación
Caducidad, días restantes y vida útil frente a los límites cada vez más cortos del CA/Browser Forum (200 días desde marzo de 2026, 47 para 2029). Las vidas útiles cortas se valoran positivamente: indican una rotación automatizada.
Cómo se leen las calificaciones
- A+TLS 1.3, una clave moderna, un certificado de corta duración, nada que corregir
- Aconfiguración sólida, como mucho con observaciones estéticas
- Bfunciona bien; una o dos cosas que conviene pulir
- Cvarias penalizaciones reales: planifica las correcciones
- Dse acumulan problemas graves
- Fal menos un defecto descalificador: certificado caducado o firmado con SHA-1, RSA por debajo de 2048 o TLS 1.0 aceptado
La calificación es determinista: la misma configuración siempre obtiene la misma letra. Los resultados se guardan en caché durante una hora; cada página de informe tiene un botón para volver a comprobar sin usar la caché.
Acerca del escáner
Los informes, las insignias y la API proceden de un único escáner que se ejecuta en los servidores de ecdsa.com. Sus solicitudes HTTP llevan el User-Agent ecdsa.com-scanner con un enlace a esta sección; un handshake TLS no tiene ningún campo para un nombre así, por lo que los handshakes no lo llevan.
Solo contacta con direcciones públicas de internet. Cada dirección a la que resuelve un nombre se comprueba primero en los registros de direcciones de uso especial de la IANA, y se rechaza todo nombre que apunte, aunque sea en parte, a un espacio privado, de loopback, de enlace local o reservado por cualquier otro motivo. Después, la conexión va a la dirección que se comprobó, nunca al resultado de una segunda consulta.
Por muchas personas que lo pidan, un dominio se analiza como máximo 6 veces en 10 minutos, y el escáner en conjunto realiza como máximo 300 análisis por minuto. Los resultados se guardan en caché durante una hora.
¿Quieres ver el interior de un certificado por tu cuenta? El decodificador de certificados decodifica cualquier PEM o DER localmente en tu navegador. Para entender por qué los algoritmos se califican como se califican, empieza por ECDSA frente a RSA.