Skelne udløb fra tillidskædefejl, bevar det rapporterede slutpunkt og valider det certifikat, der rent faktisk vises efter fornyelse.
Læs resultatkategorien præcist
Referencer: RFC 8460 §4.3.1, RFC 8460 §4.3.2.
certifikat udløbet betyder, at indberetteren har observeret et udløbet certifikat. certifikat-ikke-tillid dækker flere forhold, herunder ukendte certificeringsmyndigheder, kædefejl og navnebegrænsninger. Fejlårsagskoden kan indsnævre diagnosen, men er tekst leveret af reporter, ikke en universel parserkontrakt. Mærk ikke alle certifikater, der ikke er tillid til, som et manglende mellemprodukt uden bevis. Start med politikkonteksten og rapporterede modtagende slutpunkt, så et SMTP -certifikatproblem ikke forveksles med sts-webpki-invalid på en MTA-STS HTTPS-politikvært.
Tjek det certifikat, der nåede afsenderen
En certifikatadministrator, der viser et fornyet certifikat, fastslår ikke, at alle SMTP lyttere betjener det. Registrer serie- eller fingeraftryk, gyldighedsinterval, kæde og testtidsstempel fra det faktiske autoriserede slutpunktstjek. Sammenlign disse værdier på tværs af de modtagende ruter, der er impliceret af rapporter. En forældet proces, glemt backup-vært eller ufuldstændig load-balancer-implementering kan efterlade gamle certifikater aktive. Gennemgå urnøjagtigheden, når gyldighedsgrænserne forekommer inkonsekvente, men skift ikke ure eller trust-butikker blot for at bestå en mislykket prøve.
Genskab et fornyelsesoverlapningsproblem
Den syntetiske øvelse definerer et gammelt certifikat gyldigt indtil t=100 og et nyt gyldigt fra t=90 indtil t=200. Ved t=110, der stadig betjener det gamle certifikat, modellens validitetsvinduekontrol, mens en lytter, der betjener det nye certifikat, består det. Dette reproducerer distinktionen uden at generere et rigtigt certifikat. Det beviser ikke kædetillid, navnematchning, tilbagekaldelsesadfærd eller implementeringens grænsekonventioner. De har brug for en ægte TLS validator og kontrolleret slutpunktsbevis.
Undersøg tillid uden at omgå den
Referencer: RFC 8461 §4.2, RFC 7672 §3.1.1.
Fang bladet og serveret mellemkæde, og sammenlign derefter reporterens årsag med et vedligeholdt testmiljø. En udsteder, som én lokal maskine har tillid til, accepteres muligvis ikke af den berørte afsender. Manglende mellemprodukter, et uventet selvsigneret certifikat og en politikspecifik begrænsning er forskellige reparationer. Dokumenter den valgte valideringsmodel. SMTP DANE med DANE-EE brug har en anden tillidssemantik fra Web PKI, så en STS-lignende konklusion om offentlige certificeringsmyndigheder kan ikke blot anvendes på alle TLSA rapport.
Luk sløjfen om implementering og rapportering
Referencer: RFC 8460 §4.1.
Anvend den godkendte fornyelse eller kædekorrektion på hver berørt lytter, bekræft genindlæsningsadfærd og behold bevis for det præsenterede certifikat efter ændringen. Sammenlign rapporter, hvis observationsperioder falder efter reparationen, og tag hensyn til aggregeringsforsinkelser. Planlæg fornyelsesovervågning med nok gennemløbstid til ejerskab og udrulning, og overvåg separat, om det nye certifikat rent faktisk implementeres. Sænk ikke automatisk en håndhævende transportpolitik for at skjule certifikatfejl. Denne vejledning registrerer kun kontrollerede laboratorietests; det fornyer ikke produktionscertifikater, ændrer produktionstillidsbutikker eller demonstrerer produktionsgenopretning.
Beholdt historiske beviser og aktuelle kontroller
Transportobservationerne nedenfor blev fanget den 7. november 2026 og inspiceret, ikke genudført som netværkstest, til denne gennemgang. De nye offline-modeltjek registreres separat.
Den bibeholdte loopback-opsamling inkluderer et certifikat, der er underskrevet af den betroede laboratorie-CA, hvis gyldighed sluttede før testen; det mislykkes med verifikationskode 10, certifikatet er udløbet. Et separat selvsigneret blad mislykkes med verifikationskode 18, selvsigneret certifikat. Den gyldige kontrol lykkes med det samme forventede værtsnavn. Tidsstemplede håndtryksbeviser og offentlige certifikater bevares, så udløb og tillidssvigt kan inspiceres separat. Private nøgler er midlertidige og fjernes. Faktisk udrulning af tjenestefornyelse og verifikation af implementering af alle lyttere forbliver uden for dette laboratorium. Den historiske transportløber kræver Python med kryptografi og loopback sockets. Dets resultater er afgrænset laboratoriebevis, ikke aktuel servicesundhed eller produktionsinteroperabilitet.
Primær kildegrundlag
Feltdefinitionerne og rapporteringsgrænserne kommer fra RFC 8460 , SMTP TLS -rapportering, afsnit 3 og 4. Hvor STS-validering diskuteres, konsulteres RFC 8461. De operationelle anbefalinger er adskilt fra protokolkrav.