Documentazione

Valutazione a lucchetti: che cosa serve per ciascuno dei cinque

Un controllo TLS valuta la configurazione del server con uno a cinque lucchetti. La valutazione è un riepilogo che si legge a colpo d’occhio; i rilievi sottostanti dicono che cosa cambiare. Questa pagina stabilisce esattamente che cosa serve per ogni livello, così che una valutazione su cui non sei d’accordo si possa ricondurre al rilievo che l’ha determinata.

I cinque livelli

Come leggere la valutazione

• Valuta la configurazione, non il tempo. Un certificato che scade tra cinque giorni conserva i suoi lucchetti. Alla scadenza pensa lo stato del controllo; mescolare le due cose farebbe crollare la valutazione a ogni rinnovo e non significherebbe più nulla.
• Più riferimenti: il più basso. Quattro lucchetti vuol dire che ogni riferimento scelto è rispettato, quindi nessuno va indicato come principale. Ogni risultato riporta anche la valutazione rispetto a ogni riferimento supportato, scelto o no, così vedi che cosa cambierebbe aggiungendone uno.
• La gravità non la cambia. Se un rilievo avvisa, fallisce o viene solo registrato lo scegli tu sul controllo; la valutazione descrive il server. Due controlli dello stesso server con gli stessi riferimenti mostrano la stessa valutazione.
• I dati incompleti la limitano. Quando il test giornaliero non ha potuto accertare tutto ciò che leggono le regole di un riferimento scelto, quel riferimento conta come non rispettato e la valutazione si ferma a tre lucchetti; ciò che non ha potuto accertare altrimenti impedisce il quinto. Quattro lucchetti dicono che ogni riferimento scelto è rispettato, e una regola che non si è potuta applicare non lo consente. Il risultato indica posture_incomplete tra ciò che limita la valutazione.
• Ciò che la limita è indicato. Sotto i cinque lucchetti, il risultato nomina i rilievi che hanno impedito il livello successivo, e il dettaglio del risultato li evidenzia.
• Alcune cose non costano mai un lucchetto. Encrypted Client Hello e il precaricamento HSTS dipendono da una CDN o dall’elenco di un produttore di browser quanto da te. L’OCSP stapling costa un lucchetto solo se un riferimento scelto lo richiede e la CA del certificato offre OCSP. Gli header di pinning obsoleti vengono solo annotati.
• Ciò che non si applica non costa nulla. Un server con una sola versione di TLS non ha nulla a cui retrocedere, quindi il segnale anti-downgrade non gli viene richiesto. Una porta 80 chiusa non ha nulla da reindirizzare, e le condizioni HTTP valgono solo con i controlli HTTP, attivi per impostazione predefinita sulla porta 443.
• Per località. Ogni località valuta ciò che ha visto. La pagina del controllo mostra la valutazione più bassa tra le sue località e quella di ciascuna.

Quando manca la valutazione

Una valutazione richiede un’analisi della configurazione, che avviene al massimo una volta al giorno per server e località. Prima della prima analisi, finché un’analisi è rinviata perché la quota giornaliera del server è esaurita, e per un server il cui operatore ci ha chiesto di non analizzarlo, un risultato non ha valutazione. Scadenza, fiducia e gli altri controlli di disponibilità avvengono comunque a ogni controllo.

Versioni

Queste sono le regole della versione di valutazione 3. Ogni risultato registra la versione che lo ha valutato, quindi una versione successiva che inasprisce una regola non appare mai come un calo nello storico di un server: si applica dalla sua data. Una nuova edizione di un riferimento non è una nuova versione di valutazione: il risultato registra l’edizione a parte.