Certificado y confianza
Cobertura del hostname, validez, detalles de clave pública, cadena enviada y validación de ruta contra el almacén de confianza disponible.
Diagnóstico SSL/TLS
Cómo evalúa SSLConf un servidor SSL/TLS.
El Análisis SSL/TLS es una revisión reproducible de la configuración de un endpoint TLS público. Está diseñado para mostrar la nota, las evidencias y sus límites, no para sustituir una auditoría de seguridad completa.
Analizar dominioModelo de puntuación
Cada análisis parte de 100. Los problemas de configuración confirmados restan puntos. Si el hostname no coincide se muestra M y si la cadena no es confiable se muestra T, en lugar de tratarlos como una letra normal.
Rangos de nota
A+
100
A
85–99
B
70–84
C
55–69
D
40–54
E
25–39
F
0–24
M
Hostname no cubierto
T
Cadena no confiable
Penalizaciones aplicadas actualmente
Cadena de certificados no confiable
−60, se muestra T
El certificado caduca en 7 días o menos
−25
El certificado caduca en 30 días o menos
−10
TLS 1.3 no disponible
−5
TLS 1.0 o TLS 1.1 habilitado
−20 por protocolo
Cipher débil o heredado negociado
−15
Suite TLS 1.2 débil aceptada
−10
Compresión TLS activa
−25
Renegociación iniciada por cliente aceptada
−5
Intercambio de clave efímera débil
−15
HSTS ausente o max-age inferior a 180 días
−5
Certificado confirmado como revocado mediante OCSP
−80
Cobertura de endpoints públicos
El escáner resuelve direcciones IPv4 e IPv6 públicas e intenta un handshake TLS contra cada endpoint seleccionado utilizando el hostname solicitado como SNI. Un endpoint completado con una postura TLS confirmada más débil puede reducir la nota global. Un endpoint que agota el tiempo o no completa el handshake se muestra como cobertura no disponible; por sí solo no reduce la puntuación.
Qué comprueba el informe
Protocolos y ciphers
Sondeos TLS 1.0 a TLS 1.3, ciphers negociados, enumeración de suites TLS 1.2 y una comprobación indicativa del orden del servidor.
Comportamiento de transporte
Compresión TLS, renegociación segura e iniciada por cliente, TLS_FALLBACK_SCSV, reanudación de sesión, ALPN y datos del intercambio de claves negociado cuando son observables.
Señales HTTP, DNS y revocación
Flujo HTTP a HTTPS, redirecciones HTTPS, HSTS, estado preload, HTTP/2 mediante ALPN, CAA, OCSP stapling y revocación OCSP cuando los datos del emisor y el responder lo permiten.
Compatibilidad indicativa
Un conjunto reducido de perfiles TLS actuales. No es una simulación exhaustiva de versiones de navegadores o sistemas operativos.
Señales que no restan puntos directamente
SSLConf sigue mostrando estas señales porque aportan evidencia de configuración o recomendaciones. Su ausencia, por sí sola, no reduce la nota numérica actual:
- Disponibilidad de HTTP/2
- Registros CAA
- OCSP stapling
- Estado HSTS preload
- longitud de la cadena de redirecciones y HSTS en una redirección HTTPS
- reanudación de sesión y estado TLS_FALLBACK_SCSV cuando no hay una penalización explícita
Alcance y limitaciones
- El resultado es una observación puntual desde la red del escáner. DNS, CDN, enrutamiento geográfico y balanceadores pueden entregar configuraciones distintas a otros clientes.
- Un sondeo fallido significa que el escáner no pudo confirmar esa comprobación en su ventana de tiempo. No demuestra automáticamente que el servidor no admita esa función.
- El test no es una prueba de intrusión de aplicación web, un escáner de vulnerabilidades, una auditoría de autoridad certificadora ni un simulador exhaustivo de compatibilidad de clientes.
- SSLConf usa reglas propias y transparentes. La nota no pretende ser equivalente a SSL Labs ni a la evaluación de otro proveedor.
- Usa las evidencias y recomendaciones como entrada para el control de cambios; prueba los ajustes en tu entorno antes de aplicarlos en producción.