D3bris SSL-Zertifikate überwachen: Ablauf, Domain-Fehler und Warnungen
Warum SSL-Zertifikate trotz automatischer Verlängerung ablaufen, welche Fehler Browser-Warnungen auslösen und wie Sie Zertifikate Ihrer Kundenwebsites überwachen.
Ein abgelaufenes oder falsches SSL-Zertifikat (genauer: TLS-Zertifikat) ist für Besucher eines der sichtbarsten Probleme überhaupt. Statt der Website zeigt der Browser eine ganzseitige Warnung wie „Dies ist keine sichere Verbindung“ oder „Your connection is not private“. Die meisten Besucher brechen an dieser Stelle ab – und viele Kunden halten ihre Website danach für „gehackt“.
Warum Zertifikate trotz automatischer Verlängerung ablaufen
Die meisten Hoster verlängern kostenlose Zertifikate (etwa von Let’s Encrypt) automatisch. Trotzdem gehen Verlängerungen regelmäßig schief:
- Die Domain zeigt nicht mehr auf den Server, der verlängert. Nach einem Umzug, einer DNS-Änderung oder dem Vorschalten eines CDN kann die automatische Prüfung der Zertifizierungsstelle scheitern.
- Eine Subdomain wurde vergessen. Das Zertifikat gilt für
kunde.de, aber nicht fürwww.kunde.deodershop.kunde.de. - Manuell gekaufte Zertifikate. Ein- oder zweijährige Zertifikate werden von Hand erneuert – und die Erinnerung ging an eine Adresse, die niemand mehr liest.
- Kürzere Laufzeiten. Die Branche verkürzt die maximale Gültigkeit öffentlicher Zertifikate schrittweise. Je öfter erneuert wird, desto wichtiger ist eine unabhängige Kontrolle.
Die häufigsten Zertifikatsfehler
| Fehler | Was er bedeutet | Typische Ursache |
|---|---|---|
| Abgelaufen | Das Gültigkeitsdatum ist überschritten | Automatische Verlängerung fehlgeschlagen oder manuelle Verlängerung vergessen |
| Passt nicht zur Domain | Das Zertifikat wurde für einen anderen Namen ausgestellt | Neue Subdomain, falsches Zertifikat nach Umzug, Standardzertifikat des Hosters |
| Ungültig oder nicht vertrauenswürdig | Die Kette bis zu einer anerkannten Zertifizierungsstelle fehlt oder ist fehlerhaft | Zwischenzertifikat nicht installiert, selbst signiertes Zertifikat |
Alle drei Fälle sind von außen eindeutig erkennbar: Ein Monitoring-Dienst baut dieselbe verschlüsselte Verbindung auf wie ein Browser und prüft das Zertifikat dabei.
Wie D3bris Zertifikate prüft
Bei jeder Prüfung einer https://-Adresse – also alle 5 Minuten – validiert D3bris das Zertifikat wie ein Browser:
- Ungültig, abgelaufen oder für eine andere Domain ausgestellt: Die Seite gilt als gestört. Nach der Bestätigung durch eine zweite Prüfung bekommen Sie eine E-Mail mit der konkreten Ursache, etwa „Das SSL-Zertifikat passt nicht zur Domain“.
- Läuft in 14 Tagen oder früher ab: Sie bekommen eine Warnung mit dem Ablaufdatum – genug Zeit, um die Ursache zu finden, bevor Besucher etwas merken.
- In der Übersicht: Für jede geprüfte Seite sehen Sie, bis wann das aktuelle Zertifikat gültig ist.
Prüfen Sie bei Websites mit mehreren Subdomains je eine Seite pro Subdomain, denn jede Subdomain kann ein eigenes Zertifikat haben. In D3bris ist eine Subdomain eine eigene Website.
Was Sie bei einer Warnung tun können
- Ablaufdatum und Aussteller prüfen. Im Browser über das Schloss-Symbol neben der Adresse.
- Beim Hoster nachsehen, ob die automatische Verlängerung aktiv ist und ob sie Fehler meldet.
- DNS kontrollieren: Zeigen Domain und
wwwnoch auf den Server, der das Zertifikat ausstellt? - Nach der Erneuerung abwarten: D3bris prüft innerhalb von 5 Minuten erneut und meldet die Wiederherstellung.
Grenzen
D3bris bewertet das Zertifikat, das unser Prüfserver sieht. Andere Dienste derselben Domain, etwa ein Mailserver, werden nicht geprüft. Einstellungen wie veraltete TLS-Versionen oder schwache Verschlüsselungsverfahren bewerten wir nicht; dafür gibt es spezialisierte Analysewerkzeuge.
Weitere Prüfpunkte rund um Domain, DNS und Zertifikate finden Sie in der Checkliste für Agenturen.