TLS エンドポイントインスペクター

1 つの公開ホストとポートに接続し、サーバーが受け付ける TLS のバージョン (TLS 1.0、1.1、1.2、1.3 をそれぞれ別のハンドシェイクで確認)、既定の接続でネゴシエートされたプロトコル、暗号スイート、ALPN、そして提示された証明書 (サブジェクト、発行者、有効期間、サブジェクト代替名、鍵の種類とサイズ、シリアル番号、SHA-256 フィンガープリント、チェーン、信頼、ホスト名の検証) を報告します。

「対応」はそのバージョンだけでハンドシェイクが完了したことを意味します。「提供なし」はサーバーがアラート、別のバージョン、または接続の切断で応答したことを意味します。「ここでは確認不可」はチェッカー自身の TLS ライブラリがそのバージョンの提示を拒否したため、無効ではなく不明であることを示します。「タイムアウト」と「ネットワークエラー」は TLS の応答が届かなかったことを示します。RFC 8996 により非推奨とされているため、TLS 1.0 と TLS 1.1 には「非推奨」と表示されます。

最も役立つ証明書のフィールドを表示し、リーフ証明書を PEM としてコピーまたはダウンロードできます。拡張、ポリシー、完全なデコードが必要な場合は「X.509 証明書インスペクターで調べる」を選択してください。PEM はメモリ上だけでそのツールに渡され、保存されることも URL に含まれることもありません。

ブラウザーは生の TLS ハンドシェイクを行えないため、チェックは CodingTool のサーバーで実行されます。ホスト名の名前解決は 1 回だけで、DNS 応答のいずれかがプライベート、ローカル、予約済みの場合は何にも接続しません。すべての接続は確認済みの 1 つの公開アドレスに向かい、ホスト名は SNI と証明書の検証にのみ使われます。1 回のチェックで開く接続は最大 5 つ、10 秒で停止し、レート制限があり、対象や証明書について何も保存・記録しません。

テストするアドレスは 1 つだけなので、複数のアドレスを持つホストやロードバランサーの背後にあるホストは、別の場所では異なる応答をする場合があります。結果はチェッカーの TLS ライブラリに依存し、すべてのレガシー暗号を提示できるとは限りません。すべての暗号スイートの列挙、クライアント証明書のテスト、失効の確認は行わず、1 回のリクエストでチェックするホストは 1 つです。