Certificaatgezondheid

Certificaatgezondheid laat in gewone taal zien of een certificaat veilig te vertrouwen is en wat je moet doen als dat niet zo is — gemaakt voor iedereen die sites beheert, niet alleen security-experts.

#Overzicht

• InfraNest controleert elk certificaat dat het kent en geeft je een oordeel in gewone taal.
• Open een certificaat en het antwoord staat meteen bovenaan de pagina — geen zoekwerk nodig.
• Knoppen om te herstellen brengen je direct naar de relevante actie of technische details.

#Bekijk wat er mis is met een certificaat

1. Ga naar Certificaten.
2. Selecteer een adres om te bekijken wat het serveert, of kies Alle certificaten en open een certificaat.
3. Het oordeel bovenaan vertelt wat jouw aandacht nodig heeft en wat te doen. Een ontbrekende tussenliggende verklaart bijvoorbeeld waarom sommige clients een certificaat niet vertrouwen dat jouw browser wel accepteert.

De pagina opent met wat jouw aandacht nodig heeft. Geslaagde controles blijven ingeklapt onder checks passed; selecteer Show om ze te lezen. Een herstelknop brengt je naar de relevante actie of technische details.

Er zijn geen tabbladen om door te lopen — alle andere informatie hier beschreven staat verderop op dezelfde pagina.

#Wat elke controle betekent

Vernieuwing is degene die storingen veroorzaakt. De pagina vermeldt wie het certificaat vernieuwt en wanneer. Een verlopen of bijna verlopen certificaat dat niemand vernieuwt, heeft een vervanging nodig; een automatische vernieuwing die te laat is, vraagt om een controle van het vernieuwingssysteem, niet alleen nog een herinnering over de vervaldatum.

De adres- en certificaatdetails tonen ook welke monitor het certificaat bewaakt. Zonder monitor wordt een storing pas bij de volgende scan ontdekt, in plaats van op het moment dat hij ontstaat.

Daarna de controles op het certificaat zelf:

• Sleutel en Handtekening — is de versleuteling van het certificaat sterk genoeg, en is het ondertekend met een methode die nog als veilig geldt? Deze twee zijn kritiek als ze falen: het certificaat is zwak, niet alleen slordig.
• Vertrouwen — is dit een certificaat dat browsers accepteren, of een zelfondertekend certificaat?
• Hostnaam — staat het adres dat je monitort daadwerkelijk op het certificaat vermeld? Zo niet, dan geven browsers daar een waarschuwing over.
• Looptijd — een certificaat dat langer geldig is dan de nu toegestane 398 dagen. Browsers wijzen die af.
• Keten — hoe het certificaat werd geserveerd. Zie hieronder.
• CAA — je kunt in DNS een regel publiceren die aangeeft welke bedrijven certificaten mogen uitgeven voor jouw domein. Staat de uitgever van dit certificaat niet op die lijst, dan is dat óf een fout die je moet herstellen, óf een certificaat dat iemand heeft aangevraagd zonder dat jij het verwachtte.

Keten en CAA verschijnen alleen wanneer InfraNest hier iets over te melden heeft: een keten wordt alleen geregistreerd wanneer een live controle of scan het certificaat daadwerkelijk heeft zien geserveerd worden, en CAA alleen wanneer het domein een beleid publiceert om tegen te controleren.

#Is het correct geïnstalleerd?

Voor certificaten die op een live adres zijn gezien, bevat het oordeel het resultaat van de keten:

• Correct geïnstalleerd — de volledige keten tot aan een root die browsers vertrouwen. Niets te doen.
• Ontbrekende tussenliggende — alleen het certificaat zelf werd meegestuurd. Dit werkt vaak wel in browsers, maar breekt apps, curl en sommige telefoons, wat het makkelijk maakt om over het hoofd te zien.
• Niet-vertrouwde root of Zelfondertekend — de keten leidt niet terug naar iets dat browsers vertrouwen.

Als er een tussenliggende certificaat ontbreekt, klap dan Technical details uit. Het paneel Hoe los je dit op legt uit wat je aan je server moet toevoegen, met een downloadlink waar de uitgever er een publiceert.

NoteAls je browser de site als in orde toont terwijl een controle hier faalt, zie dan "Een certificaatcontrole faalt hoewel het certificaat geldig is".

#Corrigeer wat InfraNest heeft afgeleid

InfraNest vult de details van een certificaat in op basis van het certificaat zelf, en dat kan onjuist zijn — een gekocht certificaat dat via je hostingpartij vernieuwt, ziet er hetzelfde uit als een certificaat dat niemand vernieuwt. Gebruik om dit te corrigeren het menu met meer acties → Eigenaar en notities bewerken bovenaan de pagina:

• Validatie — of de uitgever alleen het domein controleerde (DV), het bedrijf erachter (OV), of een uitgebreide controle uitvoerde (EV).
• Eigenaar — wie in je team dit certificaat beheert.
• Maak dit automatisch — vink dit aan als iets het certificaat voor je vernieuwt. Meldingen over de vervaldatum blijven dan informatief in plaats van urgent.
• Notities — alles wat het waard is om te onthouden.

Al het andere — wat het certificaat dekt, wie het uitgaf, wanneer het verloopt, het Serienummer en de vingerafdruk — wordt uit het certificaat gelezen en kan niet worden bewerkt, omdat het hier wijzigen het certificaat zelf niet zou veranderen.

#Wanneer InfraNest je waarschuwt

Je hoeft niet zelf te komen kijken. InfraNest waarschuwt je wanneer een certificaat verloopt of is verlopen, wanneer het certificaat dat op een adres wordt geserveerd verandert, wanneer er een zwak certificaat wordt gevonden, wanneer er een is ingetrokken, en wanneer er een certificaat voor jouw domein wordt uitgegeven dat je niet verwachtte. Je team ontvangt deze al in de app en per e-mail; om ze ergens anders naartoe te sturen, en om te kiezen welke van deze meldingen die bestemming ontvangt, ga je naar Alerts → Destinations.

#Tips

TipEen vernieuwing is pas voltooid als elk adres het nieuwe certificaat serveert. Als er nog één het vorige certificaat serveert, noemt de uitrolsectie dat adres en biedt Check aan; het vorige certificaat blijft in de geschiedenis staan.

#Probleemoplossing

• Een certificaat dat InfraNest alleen ooit in een openbaar certificaatlogboek of in de lijst van een provider heeft gezien, heeft geen keten- of monitoringinformatie, omdat niemand heeft gezien dat het werd geserveerd. Daarom staan sommige van deze onderdelen niet bij elk certificaat.