Inspectați certificatul unui site printr-un proxy HTTP cu OpenSSL
Folosiți OpenSSL s_client printr-un proxy HTTP CONNECT și păstrați aliniate numele destinației, SNI și verificarea certificatului.
Folosiți un OpenSSL s_client instalat care acceptă -proxy. Pentru un endpoint HTTP CONNECT autorizat:
openssl s_client -proxy proxy.example:3128 -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -showcertsÎnlocuiți adresa proxy-ului și folosiți consecvent numele de destinație intenționat. Pentru un test către o destinație publică printr-un proxy pe care îl puteți alege, selectați un candidat HTTP din lista de proxy-uri HTTP. -connect selectează ținta, -servername trimite SNI pentru gazda virtuală TLS, iar -verify_hostname verifică identitatea. SNI singur nu înseamnă verificarea numelui gazdei. Consultați manualul pentru versiunea instalată când adaptați opțiunile.
-showcerts afișează ce a trimis serverul, nu declară că lanțul este de încredere. -verify_return_error face ca erorile de verificare să încheie handshake-ul; altfel clientul de diagnostic poate continua după erori. Pentru un serviciu privat folosiți material CA aprobat, nu un certificat descărcat la întâmplare.
| Rezultat | Etapă |
|---|---|
| 407 | Autentificarea proxy-ului înainte de TLS-ul destinației. |
| Destinație CONNECT respinsă | Politica proxy pentru destinație. |
| Certificat primit și verificare încercată | Schimbul TLS al destinației prin tunelul acceptat. |
Cu OpenSSL 3.x și un proxy HTTP cu autentificare Basic, folosiți opțiunile de cont proxy ale s_client, păstrând verificarea destinației.
Un endpoint exclusiv SOCKS nu oferă interfața proxy HTTP folosită de această comandă. Cu interceptare TLS autorizată, certificatul afișat poate fi emis de acel intermediar. Comparați emitentul și relația de încredere prevăzută înainte de a atribui diferența unui site defect.