Sprawdzić certyfikat SSL

Co dokładnie odczytuje NetCheck

Po uruchomieniu sprawdzania NetCheck otwiera szyfrowane połączenie ze stroną, tak jak zrobiłaby to przeglądarka, i pobiera certyfikat, który przedstawia serwer. Bez pośredniej bazy danych: to certyfikat faktycznie serwowany w tej chwili.

Jak długo ważny jest certyfikat?

Zasady CA/Browser Forum, które zrzesza urzędy certyfikacji i producentów przeglądarek, stopniowo skracają ten okres. Od marca 2026 roku publiczny certyfikat nie może być ważny dłużej niż 200 dni. Limit spadnie do 100 dni w marcu 2027 roku, a do 47 dni w marcu 2029 roku. Certyfikaty Let's Encrypt działają już 90 dni.

W praktyce ręczne odnawianie staje się nie do utrzymania. Jeśli twój hosting lub serwer nie odnawia certyfikatu automatycznie (przez protokół ACME, na przykład za pomocą Certbota), to dobry moment, by to zautomatyzować. Planuj odnowienie dwa-trzy tygodnie przed terminem, aby mieć czas na reakcję, jeśli automatyzacja zawiedzie.

Najczęstsze błędy

• Wygasły certyfikat: automatyczne odnowienie po cichu się nie powiodło, często dlatego, że zmienił się rekord DNS albo zapora blokuje weryfikację.
• Nazwa nieobjęta certyfikatem: certyfikat obejmuje przyklad.pl, ale nie www.przyklad.pl, albo odwrotnie. Spójrz na wiersz „Obejmuje też”: muszą się tam znaleźć obie formy.
• Niepełny łańcuch: serwer wysyła certyfikat strony, ale zapomina o certyfikacie pośrednim urzędu. Niektóre przeglądarki pobierają go same, inne nie, stąd błąd pojawiający się tylko na części urządzeń. Skonfiguruj serwer z plikiem „fullchain”.
• Certyfikat samopodpisany: dopuszczalny w sieci wewnętrznej, nigdy na publicznej stronie.
• Treść mieszana: certyfikat jest w porządku, ale strona ładuje obrazy lub skrypty przez http://. Przeglądarka pokazuje wtedy przekreśloną kłódkę. To nie jest problem z certyfikatem: trzeba poprawić adresy na stronie.

DV, OV, EV: czy trzeba płacić?

Certyfikat z walidacją domeny (DV) dowodzi jedynie, że wnioskodawca kontroluje domenę. Taki certyfikat wydaje bezpłatnie Let's Encrypt, z dokładnie takim samym szyfrowaniem jak certyfikaty płatne. Certyfikaty OV i EV dodają weryfikację tożsamości firmy, ale przeglądarki od lat nie pokazują tej różnicy w pasku adresu. Dla ogromnej większości stron wystarczy darmowy, poprawnie odnawiany certyfikat DV.

Certyfikaty „wildcard”

Certyfikat *.przyklad.pl obejmuje wszystkie subdomeny jednego poziomu, takie jak blog.przyklad.pl czy sklep.przyklad.pl, ale ani samej przyklad.pl, ani a.b.przyklad.pl. Ułatwia zarządzanie przy wielu subdomenach, kosztem większego ryzyka, jeśli wycieknie jego klucz prywatny.

Ograniczenie, o którym warto wiedzieć

Aby odczytać certyfikat, NetCheck negocjuje połączenie w TLS 1.2, wersji, w której certyfikat jest przesyłany jawnym tekstem podczas początkowej wymiany. Niemal wszystkie serwery wciąż ją akceptują. Serwer skonfigurowany wyłącznie pod TLS 1.3 zwróci jasny komunikat: strona działa, ale narzędzie nie może odczytać jej certyfikatu.

Najczęstsze pytania

Mój certyfikat jest ważny, ale przeglądarka pokazuje ostrzeżenie: dlaczego?

Najczęściej: nazwa nieobjęta certyfikatem (z www lub bez), niepełny łańcuch albo treść mieszana ładowana przez http. Sprawdź też zegar urządzenia: zegar przesunięty o kilka dni sprawia, że przeglądarka uznaje ważny certyfikat za wygasły lub jeszcze nieaktywny.

Na ile dni przed wygaśnięciem trzeba działać?

Przy automatycznym odnawianiu nic nie trzeba robić: wystarczy sprawdzać, czy data regularnie się przesuwa. Bez automatyzacji odnawiaj dwa-trzy tygodnie wcześniej. Poniżej tygodnia traktuj to jako pilną sprawę.

Czy darmowy certyfikat jest mniej bezpieczny?

Nie. Szyfrowanie jest identyczne. Płatny certyfikat wyróżnia się weryfikacją tożsamości, wsparciem i czasem gwarancją finansową, a nie bezpieczeństwem połączenia.

Czy kłódka oznacza, że strona jest uczciwa?

Nie. Oznacza tylko, że połączenie jest szyfrowane, a certyfikat pasuje do domeny. Strona phishingowa może jak najbardziej mieć ważny certyfikat. Patrz na nazwę domeny, nie na kłódkę.