Verificador de Versión de TLS
Detalles técnicos
Cómo funciona el verificador de TLS
Qué hace la herramienta
El verificador de TLS sondea la configuración TLS de un nombre de host intentando conexiones en cada versión del protocolo (TLS 1.0, 1.1, 1.2 y 1.3) e informa qué versiones son compatibles. También obtiene los detalles del certificado X.509 del servidor, incluyendo sujeto, emisor, fechas de validez, SAN y tamaño de clave. La verificación se ejecuta mediante una API del lado del servidor para evitar las restricciones de seguridad del navegador sobre el acceso a sockets TLS sin procesar.
Casos de uso comunes para desarrolladores
Los ingenieros de DevOps usan verificadores de TLS para confirmar que los protocolos obsoletos (TLS 1.0/1.1) estén deshabilitados después de cambios de configuración, garantizando el cumplimiento de PCI-DSS. Los desarrolladores depuran problemas de la cadena de certificados, revisan fechas de expiración antes de renovaciones y confirman que los certificados comodín o SAN cubran todos los subdominios necesarios. Los auditores de seguridad escanean endpoints para identificar soporte de protocolos débil que podría exponer servicios a ataques de degradación como POODLE o BEAST.
Formatos, tipos o variantes de datos
Las versiones de TLS van desde 1.0 (1999, obsoleta) pasando por 1.1 (2006, obsoleta) hasta 1.2 (2008, ampliamente compatible) y 1.3 (2018, la más rápida y segura). La información del certificado incluye el Common Name del sujeto y los Subject Alternative Names (SAN), la cadena del emisor, el tipo y tamaño de clave RSA/ECDSA, el algoritmo de firma y las marcas de tiempo de validez not-before/not-after. Los resultados indican si el handshake de cada versión del protocolo tuvo éxito o fue rechazado por el servidor.
Errores comunes y casos límite
Las CDN y los balanceadores de carga pueden presentar certificados o configuraciones TLS diferentes a las del servidor de origen, así que siempre prueba el endpoint real al que se conectan tus usuarios. SNI (Server Name Indication) es necesario para hosts que sirven múltiples certificados en una sola IP; probar solo por dirección IP puede devolver el certificado incorrecto. Algunos servidores usan proxies de terminación TLS donde el proxy soporta TLS 1.3 pero el backend solo habla 1.2, dando una impresión engañosa de la postura de seguridad de toda la cadena.
Cuándo usar esta herramienta vs código
Usa esta herramienta en el navegador para verificaciones rápidas ad-hoc de endpoints individuales durante la respuesta a incidentes, la verificación de renovación de certificados o revisiones puntuales de cumplimiento. Para el monitoreo continuo de configuraciones TLS en muchos endpoints, usa herramientas dedicadas como testssl.sh, sslyze o servicios de monitoreo de certificados en la nube que ofrecen alertas, seguimiento histórico y calendarios de escaneo automatizados.