Inspeção de certificado TLS
Conecta à porta 443 com validação da cadeia do certificado e do hostname habilitada.
A conexão valida tanto a cadeia de confiança quanto o hostname
O contexto TLS do PHP mantém habilitadas a validação do peer e a validação do nome do peer. Portanto, um certificado assinado por uma CA confiável não basta: a identidade também precisa corresponder ao hostname solicitado pelo usuário.
Subject Alternative Names são as identidades principais a inspecionar
Certificados modernos normalmente carregam identidades DNS na extensão Subject Alternative Name. Um certificado pode cobrir vários nomes e wildcards, portanto o Common Name sozinho não representa toda a cobertura de hostnames.
O destino é fixado em um IP público previamente validado
Antes de iniciar o TLS, a página resolve todos os registros A e AAAA e recusa o hostname se qualquer endereço for privado ou reservado. O socket então é aberto diretamente para um IP literal validado, enquanto SNI e validação do hostname continuam usando o hostname original.
Protocolo e cifra descrevem este handshake específico
O protocolo e a cifra exibidos são os negociados entre este servidor do portal e o destino durante esta conexão. Eles não enumeram todas as versões TLS ou conjuntos de cifras suportados pelo serviço remoto.
Um certificado válido é apenas uma camada da segurança Web
Um certificado TLS válido não prova que uma aplicação seja segura. Política de protocolo, configuração de cifras, HSTS, ciclo de vida do certificado, headers HTTP de segurança e vulnerabilidades da aplicação continuam sendo aspectos separados.