Как отладить TLS-handshake
TLS-handshake failures — один из самых сложных debug-категорий. Инструменты: openssl s_client для shell, Wireshark с TLS decryption для deep analysis, curl -v для application-level. Основные signals: ALPN mismatch (HTTP/2 vs 1.1), SNI missing, cert chain incomplete, cipher no overlap, TLS version downgrade.
Ниже: пошаговая инструкция, рабочие примеры, типичные ошибки, FAQ.
Пошаговая настройка
- Быстрый probe:
openssl s_client -connect example.com:443 -servername example.com -showcerts - Проверьте ALPN:
openssl s_client -alpn h2,http/1.1 -connect example.com:443 - Проверьте TLS versions:
openssl s_client -tls1_3 -connect example.com:443,-tls1_2,-tls1 - Проверьте specific cipher:
openssl s_client -cipher ECDHE-RSA-AES128-GCM-SHA256 -connect example.com:443 - Network-level с Wireshark: capture tcp port 443, использовать "(pre)-Master-Secret log" для расшифровки
- Application-level:
curl -v https://example.com 2>&1 | grep -E "SSL|TLS|ALPN" - Оценка overall: Enterno SSL checker — grade + full chain + issues
Рабочие примеры
| Сценарий | Конфиг |
|---|---|
| Basic handshake probe | openssl s_client -connect example.com:443 -servername example.com </dev/null 2>&1 | grep -E "Protocol|Cipher" |
| ALPN negotiation | openssl s_client -alpn h2 -connect example.com:443 </dev/null | grep -i alpn |
| Test TLS 1.3 | openssl s_client -tls1_3 -connect example.com:443 </dev/null |
| Wireshark filter | tcp.port == 443 and tls.record.content_type == 22 # handshake records |
| curl с ciphers | curl -v --tls13-ciphers TLS_AES_128_GCM_SHA256 https://example.com 2>&1 | grep "SSL connection" |
Типичные ошибки
- Без -servername openssl не отправляет SNI → сервер выдаст default cert, не ваш
- Wireshark без TLS keys не расшифрует payload (но metadata виден)
- curl CURLOPT_VERBOSE на PHP не показывает TLS handshake детали, только application
- Session tickets кешируют и replay-ают успешный handshake — для dedug используйте -no_ticket
- Corporate proxy с TLS-inspection влияет на handshake результат — тестируйте из-за proxy
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Гайды
Исследования
Часто задаваемые вопросы
Как расшифровать Wireshark capture?
Запустите browser с <code>SSLKEYLOGFILE=/tmp/sslkeys.log</code>. В Wireshark → Edit → Preferences → TLS → (Pre)-Master-Secret log → /tmp/sslkeys.log.
openssl показывает old cipher — нормально?
Да, sever предлагает в порядке preference. Чтобы увидеть negotiated cipher — смотрите "Cipher: XXX" в output.
Как проверить OCSP stapling?
<code>openssl s_client -status -connect example.com:443 </dev/null 2>&1 | grep "OCSP Response"</code>. Должно быть "OCSP Response Status: successful".
Как узнать TLS version в бразузере?
DevTools → Security tab → Connection. Или <code>chrome://net-internals/#ssl</code>.