Documentación

Calificación con candados: qué exige cada uno de los cinco

Una comprobación TLS califica la configuración del servidor con uno a cinco candados. La calificación es un resumen que se lee de un vistazo; los hallazgos que hay debajo dicen qué cambiar. Esta página expone exactamente qué exige cada nivel, para que una calificación con la que no esté de acuerdo pueda rastrearse hasta el hallazgo que la determinó.

Los cinco niveles

Cómo leer la calificación

• Califica la configuración, no el tiempo. Un certificado que caduca en cinco días conserva sus candados. Para la caducidad está el estado de la comprobación; mezclar ambas cosas haría caer la calificación en cada renovación y no significaría nada.
• Varias referencias: la más baja. Cuatro candados significa que se cumplen todas las referencias elegidas, así que ninguna tiene que marcarse como principal. Cada resultado lleva además la calificación frente a cada referencia admitida, elegida o no, para que vea qué cambiaría al añadir una.
• La gravedad no la cambia. Que un hallazgo avise, falle o solo se registre lo elige usted en la comprobación; la calificación describe el servidor. Dos comprobaciones del mismo servidor con las mismas referencias muestran la misma calificación.
• Los datos incompletos la limitan. Cuando la prueba diaria no pudo determinar todo lo que leen las reglas de una referencia elegida, esa referencia cuenta como no cumplida y la calificación se queda en tres candados; lo demás que no pudo determinar impide el quinto. Cuatro candados dicen que se cumplen todas las referencias elegidas, y una regla que no se pudo aplicar no lo permite. El resultado incluye posture_incomplete entre lo que limita la calificación.
• Se indica qué la limita. Por debajo de cinco candados, el resultado nombra los hallazgos que impidieron alcanzar el nivel siguiente, y el detalle del resultado los marca.
• Algunas cosas nunca cuestan un candado. Encrypted Client Hello y la precarga de HSTS dependen tanto de una CDN o de la lista de un fabricante de navegadores como de usted. El OCSP stapling solo cuesta un candado cuando una referencia elegida lo exige y la CA del certificado ofrece OCSP. Las cabeceras de pines obsoletas solo se anotan.
• Lo que no aplica no cuesta nada. Un servidor con una sola versión de TLS no tiene a qué degradarse, así que no se le pide la señal de degradación. Un puerto 80 cerrado no tiene nada que redirigir, y las condiciones HTTP solo se aplican con las comprobaciones HTTP, activas por defecto en el puerto 443.
• Por ubicación. Cada ubicación califica lo que vio. La página de la comprobación muestra la calificación más baja entre sus ubicaciones y la de cada una.

Cuándo no hay calificación

Una calificación necesita un sondeo de configuración, que se hace como mucho una vez al día por servidor y ubicación. Hasta el primero, mientras un sondeo está aplazado porque se agotó el cupo diario del servidor, y para un servidor cuyo operador nos pidió no sondearlo, el resultado no lleva calificación. La caducidad, la confianza y las demás comprobaciones de disponibilidad se hacen igualmente en cada comprobación.

Versiones

Estas son las reglas de la versión de calificación 3. Cada resultado registra la versión que lo calificó, así que una versión posterior que endurezca una regla nunca aparece como una caída en el historial de un servidor: se aplica desde su fecha. Una nueva edición de una referencia no es una nueva versión de calificación: el resultado registra la edición por separado.