テクニカルSEO / セキュリティ
SSL/TLS証明書アナライザー
ドメインを入力すると、実際にTLSハンドシェイクを行い、証明書の有効期限、ホスト名の網羅性、チェーンの信頼性、鍵の強度、署名アルゴリズム、そしてネゴシエートされたTLSプロトコルをチェックし、A+からFで採点、各問題への具体的な修正方法を提示します。
このドメインのポート443に直接接続してTLS証明書を読み取ります — ログインが必要な内部ホストは対象外です。匿名の利用回数以外、スキャン内容は保存されません。
有効な証明書は「HTTPSがある」だけでは足りない理由
ブラウザは証明書の存在だけでなく、アクセスしているホスト名を証明書がカバーしているか、期限切れでないか、信頼されたルート証明書までチェーンしているか、それを保護するアルゴリズムが長年破られていないかまでチェックします。証明書が「インストール済み」であってもこれらすべてに失敗し得て、たった一つの失敗が、ほとんどの訪問者がクリックして通過しない全画面のブラウザ警告になります。
本ツールはブラウザが実際に行うTLSハンドシェイクを実行し、キャッシュされた有効期限ではなく、ライブの証明書チェーンとサーバーがネゴシエートしたプロトコル/暗号を読み取ります。ホスト名の不一致（証明書を再発行せずサブドメインを追加した際によくある）、中間証明書の欠落（デスクトップのChromeでは隠れますが一部のモバイルブラウザでは失敗）、自己署名または期限切れの証明書、2048ビット未満のRSA鍵、SHA-1/MD5署名、そして廃止済みか既に破られているTLS 1.0/1.1を検出します。
HTTPSは2014年以降Googleのランキング要因として確認されており、ブラウザは安全でない、または誤設定されたHTTPSページをブロックしたり警告したりする傾向をますます強めています。つまり証明書の問題はセキュリティの問題であるだけでなく、トラフィックの問題でもあります。fail判定はすぐに修正し、warning（期限間近、チェーン不完全）は今週中のタスクとして扱ってください。
よくある質問
このツールは実際に何をチェックしますか？
入力したドメインのポート443に直接TLS接続を行い、サーバーが提示する正確な証明書チェーンとネゴシエートされたTLSプロトコル/暗号を取得します。そのうえで、ホスト名の網羅性（ワイルドカードを含む）、有効期限までの日数、チェーンが自己署名か中間証明書を欠いているか、リーフ証明書の署名アルゴリズム、鍵の種類とサイズ、ネゴシエートされたプロトコルバージョンを採点します。
ブラウザでは証明書が有効なのに、なぜこのツールは問題を検出するのですか？
最も多い原因はチェーンの不完全さです。サーバーが信頼されたルートへつながる中間証明書を送らず、リーフ証明書のみを配信している場合があります。デスクトップのChromeやFirefoxは以前見た中間証明書をキャッシュしていることが多く、この問題を覆い隠すため一見問題なく見えますが、新しいデバイス、古いモバイルブラウザ、キャッシュのないAPIクライアントは接続を拒否します。リーフだけでなく、CAが提供する完全なチェーンを再インストールしてください。
サイトが問題なく表示されるのに、なぜTLS 1.0/1.1が指摘されるのですか？
現在のほとんどのブラウザは互換性のため旧式のハンドシェイクを引き続きサポートしているため、ページは表示されます。しかしTLS 1.0と1.1には既知の暗号学的な弱点があり、カード決済のPCI-DSSでは使用が禁止されており、積極的に廃止が進められています。修正はサーバー/ロードバランサーのTLS設定変更（旧プロトコルバージョンの無効化）であり、証明書の再発行ではありません。
満点であればサイトは完全に安全ということですか？
いいえ — このツールはTLSトランスポート層、つまり証明書とハンドシェイクのみを採点します。アプリケーションコード、HTTPレスポンスヘッダー、サーバーソフトウェアについては何も示しません。証明書の満点は安全なサイトであるための前提条件であり、証明ではありません。
このツールはチェックしたドメインを保存しますか？
証明書の内容は一切保存されません。ツール自体の匿名利用回数と、乱用防止のための短時間のIPごとのレート制限のみを記録します。表示されたドメインと証明書の詳細は、セッション終了後は保持されません。