SSL-certificaatcontrole

Dat het domein een certificaat via HTTPS aanbiedt, dat het op dit moment geldig is en niet verlopen of pas later geldig, dat het komt van een autoriteit die browsers vertrouwen, dat het de ingevoerde hostnaam dekt, en dat de server de volledige keten tussen zijn eigen certificaat en die autoriteit meestuurt. Plus de sleutel, het handtekeningalgoritme, de vingerafdruk en het serienummer.

Meestal omdat de server het eindcertificaat zonder zijn intermediate meestuurt. Sommige clients halen de ontbrekende schakel zelf op en andere niet, wat het irritante geval oplevert van een site die in de ene browser werkt en in de andere faalt. Andere oorzaken zijn een flink verkeerd lopende klok, of een pagina die onderdelen over gewoon HTTP laadt.

Let’s Encrypt geeft uit voor 90 dagen, en publiek vertrouwde certificaten mogen niet langer dan 398 dagen lopen — een maximum dat de sector gestaag verkort. Korte looptijden zijn alleen veilig als de verlenging geautomatiseerd én bewaakt is.

Automatisering faalt geruisloos. Een DNS-wijziging, een geblokkeerde poort 80, een verlopen API-token of een deploy die een cronjob wiste stoppen de verlenging zonder dat iemand een foutmelding leest — en het eerste teken is een browserwaarschuwing waar een klant bij zit.

De lijst ‘Subject Alternative Name’ bevat elke hostnaam die een certificaat dekt. Een certificaat voor example.com dekt www.example.com niet als die naam er niet in staat, en daarom waarschuwt zo vaak de ene variant terwijl de andere werkt.