SSL-Zertifikat prüfen

Hintergrund

Zertifikate, ohne Fachchinesisch

Wie prüfe ich mein SSL-Zertifikat?

Ein Zertifikat beweist zwei Dinge: dass die Verbindung verschlüsselt ist, und dass Sie wirklich mit der Domain sprechen, die im Adressfeld steht. Beides prüft der Browser bei jedem Aufruf — nur meldet er sich erst, wenn etwas nicht stimmt.

Das Werkzeug oben nimmt Ihnen die Wartezeit ab. Es baut eine TLS-Verbindung auf Port 443 auf, liest das ausgelieferte Zertifikat und bewertet fünf Punkte: ob die Verbindung überhaupt zustande kommt und die Vertrauenskette bestätigt ist, ob das Zertifikat die eingegebene Domain abdeckt, wie lange es noch gilt, ob ein Aufruf über http:// sauber auf https:// weitergeleitet wird und ob die Seite über HTTPS überhaupt antwortet.

Zertifikat abgelaufen — was mache ich jetzt?

Kurzfristig: Besucher sehen eine ganzseitige Warnung und kommen nur über einen bewussten Klick auf „Erweitert" weiter. Die meisten tun das nicht. Für einen Shop oder ein Buchungsformular ist das ein vollständiger Ausfall, auch wenn der Server läuft.

Praktisch: Bei fast allen Anbietern lässt sich ein neues Zertifikat über Let's Encrypt kostenlos ausstellen, bei den meisten Baukästen und Hostern mit einem Klick im Menü. Das ist meist in Minuten erledigt.

Wichtiger ist die Ursache. Ein abgelaufenes Zertifikat heißt fast immer, dass die automatische Verlängerung nicht läuft — sonst wäre es nie so weit gekommen. Wer nur neu ausstellt, steht in 90 Tagen wieder vor derselben Warnseite. Typische Gründe: Der Server erreicht die Prüfstelle nicht mehr, weil eine Firewall dazwischenkam; die Domain wurde umgezogen und der alte Verlängerungsauftrag zeigt ins Leere; oder der Auftrag lief unter einem Konto, das es nicht mehr gibt.

„Nicht sicher“, obwohl das Zertifikat gültig ist

Der häufigste Fall ist die Domainabdeckung. Ein Zertifikat gilt für bestimmte Namen — beispiel.de ist ein anderer Name als www.beispiel.de. Deckt es nur einen ab und Besucher rufen den anderen auf, warnt der Browser, obwohl das Zertifikat einwandfrei ist. Der Check oben prüft das eigens und meldet es als „Domainabdeckung".

Der zweithäufigste Fall sind unverschlüsselt eingebundene Inhalte: Die Seite selbst kommt über HTTPS, lädt aber ein Bild, eine Schrift oder ein Skript über http://. Dann meldet der Browser die Seite als nicht vollständig sicher. Das sieht dieser Check nicht — dafür braucht es einen Blick in die Entwicklerwerkzeuge des Browsers.

Wie lange gilt ein Zertifikat?

Zertifikate von Let's Encrypt gelten 90 Tage und werden üblicherweise nach 60 Tagen automatisch erneuert. Kommerzielle Zertifikate liefen früher bis zu einem Jahr; die zulässige Höchstdauer wird von den Browserherstellern schrittweise weiter gesenkt.

Die praktische Folge ist überall dieselbe: Verlängerung von Hand ist keine tragfähige Lösung mehr. Sie muss automatisch laufen, und jemand muss merken, wenn die Automatik aussetzt. Deshalb meldet der Check die Restlaufzeit auch dann als Hinweis, wenn das Zertifikat noch gilt — unter 30 Tagen ist der Zeitpunkt zum Nachsehen, nicht der Tag des Ablaufs.

Weiterleitung von HTTP auf HTTPS

Ein gültiges Zertifikat nützt wenig, wenn die Seite über http:// weiterhin unverschlüsselt ausgeliefert wird. Wer einen alten Link öffnet oder die Adresse ohne https eintippt, landet dann auf der ungesicherten Fassung — mit der Warnung „Nicht sicher" im Adressfeld.

Sauber ist eine dauerhafte Weiterleitung, im Fachjargon eine 301. Der Check ruft dafür eigens http:// auf und sieht nach, was zurückkommt.

Was dieser Check nicht prüft

Er ist eine technische Ersteinschätzung, kein Sicherheitsaudit. Nicht bewertet werden: HSTS, die Feinheiten der zugelassenen Verschlüsselungsverfahren, der Sperrstatus über OCSP, DNSSEC und unverschlüsselt eingebundene Inhalte. Geprüft wird der eingegebene Hostname, nicht automatisch jede Subdomain.

Die Vertrauenskette wird gegen die Zertifikatsspeicher des prüfenden Servers bestätigt. Ein sehr neues oder sehr ungewöhnliches Ausstellerzertifikat kann dort anders bewertet werden als im Browser eines Besuchers. Für die Nachbarfragen gibt es eigene Werkzeuge: den DNS-Check für die Einträge dahinter, den DMARC-Check für die Mailseite.