Documentation

La note TLS : ce qui donne droit à chacun des cinq cadenas

Une vérification TLS note la configuration du serveur d’un à cinq cadenas. La note est un résumé qui se lit d’un coup d’œil ; les constats en dessous disent quoi changer. Cette page établit exactement ce qui donne droit à chaque note, pour qu’une note que vous contestez puisse être rattachée au constat qui l’a donnée.

Les cinq notes

Comment lire une note

• Elle note la configuration, pas l’échéance. Un certificat qui expire dans cinq jours garde ses cadenas. L’expiration, c’est le rôle du statut de la vérification ; mélanger les deux ferait chuter la note à chaque renouvellement, et elle ne voudrait plus rien dire.
• Plusieurs référentiels : la note la plus basse. Quatre cadenas signifie que chaque référentiel choisi est respecté, si bien qu’aucun n’a besoin d’être désigné comme principal. Chaque résultat porte aussi la note au regard de chaque référentiel pris en charge, choisi ou non, pour voir ce que changerait l’ajout de l’un d’eux.
• La gravité ne la change pas. Qu’un constat avertisse, échoue ou soit seulement enregistré, relève de votre réglage de la vérification ; la note décrit le serveur. Deux vérifications du même serveur avec les mêmes référentiels affichent la même note.
• Des données incomplètes la plafonnent. Quand le test quotidien n’a pas pu établir tout ce que lisent les règles d’un référentiel choisi, ce référentiel compte comme non respecté et la note s’arrête à trois cadenas ; ce qu’il n’a pas pu établir par ailleurs empêche le cinquième. Quatre cadenas disent que chaque référentiel choisi est respecté, ce qu’une règle qui n’a pas pu être appliquée ne permet pas d’affirmer. Le résultat cite posture_incomplete parmi ce qui limite la note.
• Ce qui la limite est indiqué. En dessous de cinq cadenas, le résultat nomme les constats qui ont empêché la note suivante, et le détail du résultat les signale.
• Certaines choses ne coûtent jamais de cadenas. Encrypted Client Hello et le préchargement HSTS dépendent autant d’un CDN ou de la liste d’un éditeur de navigateur que de vous. L’agrafage OCSP ne coûte un cadenas que lorsqu’un référentiel choisi l’exige et que l’AC du certificat propose OCSP. Les en-têtes d’épinglage obsolètes sont seulement enregistrés.
• Ce qui ne s’applique pas ne coûte rien. Un serveur avec une seule version de TLS n’a rien vers quoi rétrograder ; le signal anti-rétrogradation ne lui est pas demandé. Un port 80 fermé n’a rien à rediriger, et les conditions HTTP ne s’appliquent qu’avec les vérifications HTTP, actives par défaut sur le port 443.
• Par emplacement. Chaque emplacement note ce qu’il a vu. La page de la vérification affiche la note la plus basse parmi ses emplacements et celle de chacun.

Quand il n’y a pas de note

Une note demande un sondage de configuration, qui a lieu au plus une fois par jour pour chaque serveur et chaque emplacement. Avant le premier, tant qu’un sondage est reporté parce que le quota quotidien du serveur est épuisé, et pour un serveur dont l’opérateur nous a demandé de ne pas le sonder, un résultat n’a pas de note. L’expiration, la confiance et les autres vérifications de disponibilité ont lieu à chaque vérification malgré tout.

Versions

Voici les règles de la version de notation 3. Chaque résultat enregistre la version qui l’a noté : une version ultérieure qui durcit une règle n’apparaît donc jamais comme une chute dans l’historique d’un serveur, elle s’applique à partir de sa date. Une nouvelle édition d’un référentiel n’est pas une nouvelle version de notation : le résultat enregistre l’édition à part.