Über SSL-Zertifikate

Ein Leitfaden zum Bereich Zertifikate in InfraNest – für alle, die wissen müssen, ob die SSL/TLS-Zertifikate ihrer Websites sicher, bald abgelaufen oder falsch konfiguriert sind, ohne sich in technische Details vertiefen zu müssen.

#Überblick

• InfraNest führt ein einziges Inventar all deiner SSL/TLS-Zertifikate, unabhängig davon, wo sie liegen und wer sie ausgestellt hat.
• Es verfolgt den Ablauf, prüft, ob Zertifikate korrekt installiert sind, zeigt Lücken in der Abdeckung auf und warnt dich, bevor etwas ausfällt.
• Es benachrichtigt dich nur, wenn wirklich etwas Aufmerksamkeit braucht – eine unauffällige Verlängerung ist kein Alarm, eine fehlgeschlagene schon.

#Was du tun kannst

• Jedes Zertifikat an einem Ort sehen – automatisch gefunden über deine Monitore, Scans, eingefügte Zertifikate und verbundene Anbieter, alle dedupliziert in einer einzigen Liste.
• Ablauf verfolgen und rechtzeitig gewarnt werden. Sich selbst erneuernde Zertifikate bleiben still, solange sie planmäßig erneuert werden – ein Alarm bedeutet also wirklich, dass eine Erneuerung fehlgeschlagen ist.
• Erfahren, wenn ein Zertifikat ausgetauscht wird, nicht nur, wenn es sich erneuert. Du wirst informiert, wenn eine Adresse plötzlich ein Zertifikat eines anderen Ausstellers ausliefert, eines, das früher abläuft, oder eines, das nicht mehr alle Namen abdeckt.
• Eine stecken gebliebene Erneuerung erkennen. Wenn ein Zertifikat, das sich selbst erneuern sollte, einige Tage nach dem fälligen Termin noch das alte ist, meldet dir das die Startseite mit Wochen Vorlauf.
• Erfahren, wenn wir eine Adresse aus den Augen verlieren. Wenn eine Adresse nicht mehr antwortet und das über Nacht so bleibt, wird sie markiert, damit du weißt, dass wir für ihr Zertifikat nicht mehr garantieren können. Check versucht es erneut.
• Prüfen, ob Zertifikate korrekt installiert sind – InfraNest baut die Zertifikatskette neu auf und erklärt in einfachen Worten, falls etwas fehlt oder nicht vertrauenswürdig ist.
• Schwache oder falsch konfigurierte Zertifikate erkennen – schwache Schlüssel, veraltete Signaturen, selbstsignierte Zertifikate, Hostname-Abweichungen und mehr.
• Lücken finden – sehen, welche Domains nicht abgedeckt, bald ablaufend oder bereits abgelaufen sind, und jede davon mit einem Klick scannen.
• Unerwartete Zertifikate erkennen, die für deine Domains ausgestellt wurden, ohne dass du sie eingerichtet hast.

#Was ein Zertifikat kostet

Öffne ein Zertifikat – im Panel Zertifikatspreis wird der Jahrespreis angezeigt. Zertifikate von einem Aussteller, der sie nicht verkauft – Let's Encrypt, Cloudflare, Amazon und Google Trust Services – werden automatisch als kostenlos erfasst, markiert als bei diesem Aussteller kostenlos, damit sie nicht als auszufüllende Preise in deinen Ausgabenberichten auftauchen.

Für alles andere trägst du selbst ein, was du zahlst. InfraNest rät nicht: Manche Aussteller verkaufen sowohl kostenlose als auch kostenpflichtige Zertifikate, daher könnte die Annahme, ein Zertifikat sei kostenlos gewesen, 0 € neben etwas stellen, das dir tatsächlich berechnet wird.

NoteEin selbst eingetragener Preis hat immer Vorrang und wird nie automatisch überschrieben.

#Die Seite „Zertifikate“

Die Seite beantwortet zuerst eine Frage: Ist etwas gefährdet, und was muss ich tun? Sie hat drei Tabs: Overview, Addresses und All certificates.

#Den Tab „Overview“ prüfen

1. Öffne Certificates in der Seitenleiste und wähle dann Overview.
2. Lies den Zusammenfassungssatz oben – er sagt dir, wie viele Adressen in Ordnung sind und wie viele dich brauchen, sowie wann zuletzt geprüft wurde.
3. Schau unter Needs you nach – dort gibt es eine Karte pro Adresse mit einem Problem. Jede Karte erklärt, was nicht stimmt, wann es wichtig wird und was passiert ist.
4. Nutze Snooze until tomorrow oder This is intentional, um eine Karte zurückzustellen – sie verschwindet dann von hier und von Home, bis du sie zurückholst.
5. Wähle Check now, um eine Adresse erneut zu prüfen, oder Fix CAA record, um einen fehlenden Eintrag anzusehen und hinzuzufügen.
6. Wo eine Automatisierung dasselbe Problem künftig verhindern könnte, wähle Set it up, um sie als Entwurf anzulegen, den du vor der Aktivierung prüfen kannst.
7. Scrolle zu Next 90 days, um eine Zeitleiste bevorstehender Abläufe und Erneuerungen zu sehen; fahre über einen Punkt für Details, oder wähle Add to calendar, um jeden Ablauf deinem Kalender hinzuzufügen.
8. Schau unter Recommendations nach Vorschlägen mit geringerer Priorität, etwa Zertifikate ohne Verantwortliche oder noch nicht hinzugefügte Domains. Wähle Review them, um Details zu sehen, oder Assign owners, um Verantwortliche zu benennen.
9. Falls eine Empfehlung für dich nicht zutrifft, wähle We handle this elsewhere oder Not relevant to us, um sie auszublenden. Ausgeblendete Einträge werden weiter unten aufgeführt und können mit Bring it back zurückgeholt werden.

#Den Tab „Addresses“ durchsehen

1. Wähle den Tab Addresses, um alle Adressen – Host und Port – gruppiert nach Domain zu sehen.
2. Wähle eine Domain, um sie aufzuklappen und ihre Adressen zu sehen, einschließlich des aktuell ausgelieferten Zertifikats, wer es ausliefert, wer es erneuert und wann es abläuft.
3. Nutze Search addresses, um einen bestimmten Host zu finden, oder nutze die Filter-Chips – Needs you, Renewed by a person, Monitored oder einen Anbieternamen –, um die Liste einzugrenzen.
4. Wähle eine Adresse, um ihr Detailpanel zu öffnen: was (falls überhaupt) nicht stimmt, wie sie verbunden ist, was jeder Überwachungsstandort sieht, wie sie sich erneuert, und ihre Zertifikatshistorie.
5. Wenn eine Adresse jemand anderem gehört – einem Lieferanten oder einer Website, die du nur im Auge behältst –, wähle Not ours — only watched, damit sie nicht als deine behandelt wird. Nutze This is ours, um das rückgängig zu machen.

#Alle Zertifikate durchsuchen

1. Wähle den Tab All certificates, um jedes von InfraNest gefundene Zertifikat zu sehen, gekennzeichnet danach, was es ist – In use, Provider edge, Replaced, kept for history, No longer served und so weiter.
2. Nutze Search subject, issuer or SAN…, die Filteroptionen oder Tags, um die Liste einzugrenzen.
3. Wähle ein beliebiges Zertifikat, um seine vollständigen Details, Kette und Sicherheitsprüfungen zu öffnen.

#Tipps

TipWenn eine Website hinter Cloudflare oder einem anderen Proxy sitzt, ist das Edge-Zertifikat des Anbieters dessen Aufgabe, nicht deine. InfraNest zeigt das klar bei der Domain an, damit du dir darüber keine Sorgen machen musst – behält aber weiterhin das dahinterliegende Origin-Zertifikat im Blick.

#Fehlerbehebung

• Eine Adresse antwortet nicht mehr? Prüfe, ob ihr DNS-Eintrag noch existiert. Falls die Adresse wirklich nicht mehr existiert, bietet InfraNest Stop tracking an – du kannst sie später jederzeit über den Chip Stopped tracking im Tab Addresses zurückholen.
• Eine Erneuerung scheint zu hängen? Die Karte unter Needs you nennt oft den genauen Grund – zum Beispiel eine Erneuerung, die abgeschlossen, aber nie auf den Server neu geladen wurde – und zeigt dir den nächsten Schritt.
• Unklar, wem ein Zertifikat gehört? Nutze Assign an owner beim Zertifikat oder Assign owners in den Empfehlungen auf der Overview, um das für mehrere gleichzeitig festzulegen.