SSL-Zertifikat-Prüfung

Das TLS-Zertifikat einer Website belegt ihre Identität und verschlüsselt den Datenverkehr zwischen Browser und Server. Ein abgelaufenes, selbstsigniertes oder nicht passendes Zertifikat zerstört das Vertrauen und löst Browser-Warnungen aus, die Besucher vertreiben. IPeek verbindet sich direkt mit dem Host, liest das Live-Zertifikat und meldet Aussteller, Gültigkeitszeitraum, verbleibende Tage, die abgedeckten Namen und alle gefundenen Probleme.

Während des TLS-Handshakes präsentiert der Server ein von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiertes Zertifikat. Der Browser prüft, ob der Name des Zertifikats mit dem Hostnamen übereinstimmt, ob die Signaturkette zu einer ihm vertrauenswürdigen Wurzel führt und ob das aktuelle Datum innerhalb des Gültigkeitszeitraums liegt. Bestehen alle drei Prüfungen, ist die Verbindung verschlüsselt und das Schloss-Symbol erscheint. „SSL“ ist der geläufige Name, den viele noch verwenden, doch das eigentliche Protokoll ist seit Jahren TLS. IPeek führt denselben Handshake aus und meldet, was der Server zurückgab, statt nur ein Schloss anzuzeigen.

Beginnen Sie mit den verbleibenden Tagen: Alles unter 30 bedeutet baldige Erneuerung, und ein negativer Wert bedeutet, dass das Zertifikat bereits abgelaufen ist und Besucher schon jetzt Warnungen sehen. Prüfen Sie den Aussteller, um zu bestätigen, dass es eine echte CA ist und kein selbstsignierter Platzhalter. Die Liste der Subject Alternative Names (SAN) zeigt jeden Hostnamen, den das Zertifikat abdeckt – ein Zertifikat für example.com, das www.example.com auslässt, schlägt bei dieser Variante fehl. Bestätigen Sie schließlich, dass die Kette vollständig ist; ein fehlendes Zwischenzertifikat validiert in einigen Clients, bricht aber in anderen.

Der häufigste Fehler ist schlichtes Ablaufen, behoben durch Erneuern und Neuladen des Webservers. Eine Namensabweichung bedeutet, dass der Hostname nicht in der SAN-Liste steht – stellen Sie das Zertifikat mit den korrekten Namen neu aus oder fügen Sie ein Wildcard hinzu. Fehler wie „selbstsigniert“ oder „nicht vertrauenswürdiger Aussteller“ bedeuten, dass die Zertifikatskette keine vertrauenswürdige Wurzel erreicht, meist weil das Zwischenzertifikat nicht zusammen mit dem Leaf installiert wurde. Prüfen Sie nach jeder Behebung erneut mit IPeek, ob das ausgelieferte Live-Zertifikat dem Beabsichtigten entspricht, da veraltete Zertifikate oft in Load Balancern und CDNs verbleiben.

Führen Sie eine Prüfung vor dem Launch durch sowie immer, wenn Sie das Hosting migrieren, das CDN wechseln oder Zertifikate rotieren – das sind die Momente, in denen Abweichungen und fehlende Ketten auftreten. Setzen Sie sich vor dem Ablaufdatum eine Erinnerung, besonders bei Zertifikaten ohne automatische Erneuerung. Es ist außerdem der schnellste Weg, um eine vom Besucher gemeldete Browser-Sicherheitswarnung zu diagnostizieren: Die Prüfung zeigt sofort, ob das Problem Ablauf, eine Namensabweichung oder eine gebrochene Kette ist, sodass Sie handeln können, statt zu raten.