Periksa sertifikat yang benar-benar dipresentasikan server, masa berlaku, SAN, issuer, dan chain menggunakan OpenSSL.
Mengumpulkan bukti TLS sebelum mengubah certificate, DNS, atau konfigurasi web server.
PersiapanOpenSSL tersedia di terminal dan hostname HTTPS yang boleh Anda uji. Jangan menggunakan opsi yang menonaktifkan verifikasi sebagai solusi permanen.
Browser menampilkan certificate warning atau aplikasi gagal melakukan TLS handshake. Penyebabnya dapat berupa hostname mismatch, sertifikat kedaluwarsa, chain tidak lengkap, atau server mempresentasikan sertifikat yang berbeda dari yang Anda harapkan.
Catat hostname persis yang gagal. Pada server dengan banyak virtual host, SNI penting karena sertifikat yang diterima dapat bergantung pada hostname yang dikirim client.
-servername mengirim SNI. Redirect stdin dari /dev/null agar koneksi selesai tanpa menunggu input interaktif.
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/nullPipe sertifikat ke openssl x509 untuk menampilkan subject, issuer, masa berlaku, dan Subject Alternative Name.
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltNamePastikan hostname terdapat pada Subject Alternative Name. Jangan hanya mengandalkan Common Name pada sertifikat modern.
Di bagian akhir s_client, perhatikan Verify return code. Nilai non-zero menunjukkan OpenSSL tidak dapat membangun atau memverifikasi chain dengan trust store yang digunakan pada mesin pengujian.
Uji dari jaringan atau client pembanding bila masalah hanya terjadi pada satu perangkat. Cocokkan juga DNS hostname dengan server yang seharusnya melayani TLS agar Anda tidak memperbaiki sertifikat pada origin yang salah.
showcerts menampilkan sertifikat yang dipresentasikan peer, tetapi urutan dan kelengkapan chain tetap perlu ditafsirkan. Leaf certificate biasanya diikuti intermediate; root umumnya tidak perlu dikirim server. Chain yang tidak lengkap dapat bekerja pada satu client tetapi gagal pada client lain yang tidak memiliki intermediate di cache.
Untuk diagnosis yang lebih ketat, gunakan verifikasi hostname pada OpenSSL versi yang mendukungnya. Ini membantu membedakan 'chain dipercaya' dari 'sertifikat cocok untuk hostname yang diminta'.
openssl s_client -connect example.com:443 -servername example.com -verify_hostname example.com </dev/nullJangan hanya melihat tanggal expiry. Sertifikat yang masih berlaku tetap dapat gagal karena SAN tidak cocok, chain tidak lengkap, trust store berbeda, SNI salah, atau waktu sistem client tidak benar. Hindari -verify_return_error atau opsi bypass tanpa memahami tujuan diagnosis.
Catat hostname, SNI, subject, SAN, issuer, notBefore/notAfter, chain yang dikirim, dan Verify return code. Bandingkan dengan DNS hostname agar Anda yakin sedang memeriksa endpoint yang memang melayani domain tersebut.
TLS troubleshooting sebaiknya dimulai dari sertifikat yang benar-benar diterima client. Bukti handshake, SAN, expiry, issuer, dan verify result lebih berguna daripada asumsi berdasarkan file sertifikat yang tersimpan di server.