Коли браузер показує зелений замочок біля адреси сайту, за цим стоїть перевірка сертифіката формату X.509 — стандартної структури, яка використовується практично для всіх SSL/TLS-сертифікатів в інтернеті.
З яких полів складається сертифікат
- Subject — кому виданий сертифікат (домен чи організація).
- Issuer — хто видав сертифікат (центр сертифікації, CA).
- Термін дії — дати початку й закінчення дійсності сертифіката.
- Публічний ключ — ключ, що використовується для встановлення захищеного з'єднання.
- Цифровий підпис — підпис видавця, що підтверджує автентичність усіх інших полів.
Ланцюжок довіри
Сертифікат сайту зазвичай підписаний проміжним центром сертифікації, чий власний сертифікат підписаний кореневим CA, якому браузер довіряє за замовчуванням. Браузер перевіряє весь цей ланцюжок підписів аж до кореня — якщо хоча б одна ланка не підтверджується, з'єднання вважається недовіреним.
Чому термін дії обмежений
Обмежений термін дії (зазвичай 90 днів – 1 рік для сучасних сертифікатів) знижує ризики від скомпрометованого приватного ключа й змушує регулярно оновлювати криптографічні параметри відповідно до актуальних стандартів безпеки.
Навіщо це потрібно
- Діагностувати проблеми з SSL-сертифікатами при налаштуванні вебсервера.
- Перевіряти термін дії та видавця сертифіката без звернення до зовнішніх сервісів.
- Розуміти структуру сертифіката при роботі з mTLS чи клієнтськими сертифікатами.
Самопідписані сертифікати
Сертифікат може бути підписаний власним приватним ключем замість довіреного CA — структурно він виглядає ідентично «справжньому» X.509, з тими самими полями, але Issuer і Subject у ньому збігаються. Браузери позначають такі сертифікати як недовірені, бо ланцюжок довіри не веде до жодного кореневого CA, проте самопідписані сертифікати цілком придатні для внутрішнього тестування чи розробки, де публічна довіра не потрібна.