В каком состоянии подписи вашего домена?
Введите домен, и наш сервер проверит его настройки TLS так, как это сделал бы строгий клиент: цепочку сертификатов и её алгоритмы подписи, версии протокола, сроки действия и готовность к грядущим изменениям. Итог сводится к оценке от A+ до F, а бейдж с ней можно разместить в README.
Эта проверка выполняется с нашего сервера: введённое вами имя домена отправляется на ecdsa.com, и мы подключаемся к порту 443 этого домена. Больше мы ничего не собираем.
Что проверяется
Алгоритмы подписи
Каким алгоритмом подписан сертификат и какой ключ он удостоверяет (кривая ECDSA, длина ключа RSA, Ed25519 или постквантовый ML-DSA), а также не используется ли где-то ещё взломанная хеш-функция (SHA-1, MD5).
Цепочка сертификатов
Цепочка в точности в том виде, в каком её отдаёт сервер: совпадает ли каждая связь «издатель → субъект», не пропущен ли промежуточный сертификат, не самоподписан ли конечный сертификат.
Версии протокола
Согласуется ли в рукопожатии TLS 1.3, а также принимает ли сервер ещё устаревшие TLS 1.0/1.1 — это проверяется отдельным, намеренно старомодным рукопожатием.
Сроки действия и ротация
Дата истечения, оставшиеся дни и срок действия в сравнении с сокращающимися лимитами CA/Browser Forum (200 дней с марта 2026 года, 47 дней к 2029 году). Короткие сроки действия оцениваются положительно: они говорят об автоматической ротации.
Что означают оценки
- A+TLS 1.3, современный ключ, короткоживущий сертификат, исправлять нечего
- Aнадёжная конфигурация, замечания разве что косметические
- Bвсё работает, но одну-две вещи стоит привести в порядок
- Cнесколько реальных снижений балла — запланируйте исправления
- Dнакапливаются серьёзные проблемы
- Fхотя бы один дисквалифицирующий дефект: сертификат с истёкшим сроком действия или подписанный SHA-1, ключ RSA короче 2048 бит или принимается TLS 1.0
Оценка детерминирована: одна и та же конфигурация всегда получает одну и ту же букву. Результаты кешируются на час; на каждой странице отчёта есть кнопка повторной проверки, которая обходит кеш.
О сканере
Отчёты, бейджи и API работают на одном и том же сканере, запущенном на серверах ecdsa.com. В его HTTP-запросах указан User-Agent ecdsa.com-scanner со ссылкой на этот раздел; в TLS-рукопожатии нет поля для такого имени, поэтому рукопожатия его не содержат.
Сканер обращается только к публичным адресам в интернете. Каждый адрес, в который разрешается имя, сначала сверяется с реестрами адресов специального назначения IANA, и имя, которое хотя бы частично указывает на частные, петлевые (loopback), локальные для канала (link-local) или другие зарезервированные адреса, отклоняется. Затем соединение устанавливается именно с проверенным адресом и никогда — с адресом, полученным при повторном разрешении имени.
Сколько бы людей ни запрашивали проверку, один домен сканируется не чаще 6 раз за 10 минут, а сканер в целом выполняет не более 300 сканирований в минуту. Результаты кешируются на час.
Хотите заглянуть внутрь сертификата сами? Декодер сертификатов декодирует любой PEM или DER локально в браузере. Чтобы понять, почему алгоритмы оцениваются именно так, начните со статьи Сравнение ECDSA и RSA.