Trình kiểm tra mã hóa TLS

Tình trạng các phiên bản TLS (mốc năm 2026)

Trình kiểm tra này chỉ thử TLS 1.3 và TLS 1.2. Để chứng minh TLS 1.0, 1.1 và SSLv3 đã thực sự bị tắt, hãy dùng liên kết SSL Labs cạnh kết quả; dịch vụ đó sẽ rà cả các giao thức cũ.

Một bộ mã hóa lành mạnh trông như thế nào

• Trao đổi khóa: ECDHE (forward secrecy, bảo mật chuyển tiếp), tuyệt đối không dùng trao đổi khóa RSA tĩnh.
• Xác thực: ECDSA hoặc RSA, phù hợp với chứng chỉ của bạn.
• Mã hóa đối xứng: AES-GCM hoặc ChaCha20-Poly1305. Tránh chế độ CBC trên TLS 1.2.
• Độ dài bit: AES 128 bit là đủ; 256 bit thêm phần dự phòng và cũng phổ biến không kém.
• Các bộ của TLS 1.3 có tên ngắn: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256.

Phép kiểm tra này cho bạn biết gì, và không cho biết gì

• Xác nhận máy chủ có chấp nhận TLS 1.3 hay không; thất bại thường do bản dựng OpenSSL cũ hoặc thiết bị trung gian can thiệp.
• Xác nhận TLS 1.2 vẫn khả dụng cho các máy khách cũ hơn.
• Cho thấy bộ mã hóa mà máy chủ ưu tiên khi gặp máy khách hiện đại: một bộ CBC được thỏa thuận trên TLS 1.2 ở nơi đáng ra phải là AES-GCM sẽ lộ ra ngay.
• Kiểm tra riêng tên máy chủ CDN và tên máy chủ gốc giúp phát hiện khi biên và backend thỏa thuận các phiên bản khác nhau.
• Công cụ không liệt kê mọi bộ mã hóa mà máy chủ chấp nhận, không kiểm tra TLS 1.0/1.1 hay SSLv3, không xác thực chứng chỉ và chỉ kiểm tra cổng 443.

Mẹo

• Phép kiểm tra chạy từ máy chủ của chúng tôi tại Đức, không phải từ trình duyệt của bạn, nên hệ điều hành, trình duyệt hay mạng cục bộ của bạn không bao giờ làm sai lệch kết quả. Điều đó cũng có nghĩa là một máy chủ chặn lưu lượng từ EU có thể hiện là không truy cập được dù phía bạn vẫn mở bình thường.
• Nếu cần xếp hạng dùng được cho kiểm toán, báo cáo của SSL Labs là chuẩn tham chiếu của ngành.
• Khuyến nghị về bộ mã hóa yếu thay đổi hằng năm. Khi phân vân, hãy theo cấu hình “intermediate” của Mozilla SSL Config Generator.
• Với máy chủ dùng cổng không chuẩn, hãy dùng openssl s_client -connect host:port từ terminal.