SSL-Zertifikat-Prüfung

Dass die Domain ein Zertifikat über HTTPS ausliefert, dass es aktuell gültig und weder abgelaufen noch erst künftig gültig ist, dass es von einer Stelle stammt, der Browser vertrauen, dass es den eingegebenen Hostnamen abdeckt und dass der Server die vollständige Kette zwischen seinem eigenen Zertifikat und dieser Stelle mitsendet. Dazu Schlüssel, Signaturverfahren, Fingerabdruck und Seriennummer.

Meist, weil der Server das Endzertifikat ohne sein Zwischenzertifikat sendet. Manche Clients holen das fehlende Glied selbst nach, andere nicht — daher der ärgerliche Fall, dass eine Seite in einem Browser funktioniert und im anderen nicht. Andere Ursachen sind eine stark falsch gehende Uhr oder Inhalte, die über einfaches HTTP geladen werden.

Let’s Encrypt stellt für 90 Tage aus, und öffentlich vertrauenswürdige Zertifikate dürfen 398 Tage nicht überschreiten — ein Maximum, das die Branche weiter verkürzt. Kurze Laufzeiten sind nur sicher, wenn die Erneuerung automatisiert und überwacht ist.

Automatik scheitert leise. Eine DNS-Änderung, ein blockierter Port 80, ein abgelaufenes API-Token oder ein Deploy, der einen Cronjob gelöscht hat, stoppen die Erneuerung, ohne dass jemand einen Fehler liest — und das erste Anzeichen ist eine Browserwarnung vor einem Kunden.

Die Liste „Subject Alternative Name“ enthält jeden Hostnamen, den ein Zertifikat abdeckt. Ein Zertifikat für example.com deckt www.example.com nicht ab, solange dieser Name nicht in der SAN-Liste steht — deshalb warnt so oft die eine Variante, während die andere funktioniert.