Kontrola SSL certifikátu

Co kontrola ověřuje

Při každém připojení přes HTTPS prohlížeč ověřuje certifikát serveru. Pokud některá kontrola selže, návštěvník uvidí varování a mnoho aplikací spojení rovnou odmítne. Nástroj se připojí k vašemu serveru na portu 443 a ověří tři věci samostatně:

• Platnost – jestli certifikát už platí a ještě nevypršel. Upozorníme, když zbývá méně než 14 dní.
• Název domény – jestli certifikát obsahuje zadanou doménu v poli Subject Alternative Name.
• Důvěryhodnost řetězce – jestli certifikát vydala veřejně důvěryhodná certifikační autorita a server posílá i mezilehlé certifikáty.

Jak číst výsledek

U každé kontroly uvidíte vysvětlení a u chyby řetězce i technický kód (například UNABLE_TO_VERIFY_LEAF_SIGNATURE), který se hodí správci serveru.

• Platný – všechny tři kontroly prošly.
• Vyžaduje pozornost – certifikát brzy vyprší, nebo se nepodařilo ověřit řetězec. Web může v prohlížeči fungovat, ale některým klientům ne.
• Neplatný – certifikát vypršel, nepatří k doméně, nebo mu veřejní klienti nedůvěřují. Návštěvníci uvidí varování.

Časté problémy a jak je opravit

• Certifikát vypršel – obvykle selhalo automatické obnovení. Zkontrolujte, že ACME klient (například certbot) nebo služba hostingu běží a že se po obnovení načte nový certifikát. Od března 2026 smějí veřejné certifikáty platit nejvýše 200 dní a limit se dál zkracuje, takže ruční obnova přestává stačit.
• Chybí mezilehlý certifikát – server posílá jen certifikát domény. Nastavte na serveru celý řetězec (fullchain), ne samotný certifikát.
• Certifikát pro jinou doménu – typicky chybí varianta s www nebo bez www, nebo server vrací certifikát jiného webu. Vystavte certifikát pro všechny používané názvy.
• Self-signed nebo interní autorita – hodí se jen pro interní systémy. Veřejný web potřebuje certifikát od veřejné autority, například bezplatný Let’s Encrypt.
• Zastaralé TLS – pokud server nenabízí TLS 1.2 nebo 1.3, nástroj se k němu nepřipojí. Starší verze protokolu vypněte.

Co kontrola neříká

• Neověřuje zneplatnění (revokaci) certifikátu ani úplné nastavení šifer. Podrobnou analýzu TLS konfigurace nabízí například SSL Labs.
• Kontroluje jen port 443 a jednu IP adresu domény. Pokud web běží na více serverech, mohou mít různé certifikáty.
• Platný certifikát znamená šifrované spojení se správným serverem, ne bezpečnou aplikaci. Zranitelnosti aplikace odhalí až penetrační test.
• Nástroj se připojuje jen k veřejným adresám a výsledek neukládáme.

Časté otázky