Eine Zertifikatsprüfung schlägt fehl, obwohl das Zertifikat gültig ist

Wenn dein Browser ein gültiges Schloss-Symbol anzeigt, InfraNest aber ein Problem meldet, oder ein SSL-Monitor deine Website als nicht erreichbar meldet, ist dieser Artikel für dich.

Überblick

• Browser sind nachsichtig: Sie ergänzen fehlende Zertifikatsteile und merken sich, was sie bei anderen Websites schon gesehen haben.
• Unsere Prüfungen sowie Apps, Zahlungsanbieter und andere Server, die sich mit deiner Website verbinden, sind nicht in gleicher Weise nachsichtig.
• Wenn unsere Ergebnisse von deinem Browser abweichen, sehen wir meist das, was diese anderen Besucher sehen – nicht das, was du siehst.

Herausfinden, welche Prüfung fehlschlägt

1. Gehe zu Certificates und öffne das Zertifikat.
2. Security posture zeigt oben nur die Prüfungen an, die Aufmerksamkeit brauchen. Wähle eine Zeile aus, um zu lesen, was sie bedeutet und was zu tun ist.

Wenn ein SSL-Monitor „down“ anzeigt, öffne den Monitor unter Monitoring. Seine Meldung ist weniger spezifisch: Couldn't establish a secure (SSL/TLS) connection, oder SSL certificate problem bei einem Website-Monitor. So oder so: Öffne das Zertifikat wie oben beschrieben, um herauszufinden, welcher Teil fehlgeschlagen ist.

Eine unvollständige Zertifikatskette beheben

Wenn Chain Missing intermediate anzeigt, sendet dein Server sein eigenes Zertifikat, aber nicht das Zertifikat, das es mit einer von Browsern vertrauten Zertifizierungsstelle verbindet. Browser haben dieses Teil oft von einer anderen Website gespeichert und bemerken das Problem daher nicht – Apps und unsere Prüfungen hingegen schon.

1. Wähle View chain.
2. Öffne das Panel How to fix this. Es verlinkt zu dem fehlenden Zwischenzertifikat, dort wo der Aussteller es veröffentlicht.
3. Füge das Zwischenzertifikat zur Zertifikatsdatei deines Servers hinzu (oft als Bundle oder vollständige Kette bezeichnet).
4. Starte den Webserver neu. Die meisten Hosting-Anbieter und Control Panels haben dafür ein eigenes Feld.

Eine fehlende Adresse auf dem Zertifikat beheben

Wenn Hostname The site's address isn't on the certificate anzeigt, enthält dein Zertifikat nicht die genaue Adresse, die geprüft wird. Zum Beispiel schlägt ein Monitor, der www.example.com prüft, fehl, wenn das Zertifikat nur example.com abdeckt.

1. Richte den Monitor entweder auf eine Adresse aus, die das Zertifikat abdeckt,
2. oder besorge dir ein Zertifikat, das die benötigte Adresse enthält.

NoteEin Zertifikat für *.example.com deckt www.example.com ab, aber nicht example.com selbst und nicht shop.eu.example.com.

Eine Zertifikatsabweichung zwischen Servern beheben

Deine Website liefert möglicherweise unterschiedlichen Besuchern unterschiedliche Zertifikate aus. Das passiert, wenn:

• die Adresse auf mehrere Server zeigt und einer davon noch ein altes Zertifikat hat;
• die Website eine IPv6-Adresse hat und der dahinterliegende Server nie das neue Zertifikat erhalten hat;
• ein Load Balancer oder CDN vorgeschaltet ist und dessen Zertifikat nicht mit dem auf deinem Server übereinstimmt;
• der Server mehrere Websites hostet und für eine ihm unbekannte Adresse ein Standardzertifikat ausliefert.

Wenn wir an einer von dir beobachteten Adresse ein abweichendes Zertifikat sehen, erhältst du eine Certificate changed-Benachrichtigung, und das andere Zertifikat erscheint als eigene Zeile auf der Seite Certificates. Öffne diese Zeile, um zu sehen, welches Zertifikat unsere Prüfung erhalten hat, und installiere dann das richtige Zertifikat auf dem Server oder Dienst, der es ausliefert.

Eine CAA-Aussteller-Abweichung beheben

Wenn CAA Issuer not authorized by the domain's CAA policy anzeigt, hat dein DNS eine Regel, die festlegt, welche Unternehmen Zertifikate für deine Domain ausstellen dürfen, und der Aussteller dieses Zertifikats steht nicht auf dieser Liste. Das Zertifikat funktioniert weiterhin, aber deine nächste Verlängerung könnte abgelehnt werden.

1. Wähle Manage CAA.
2. Füge entweder den Aussteller zur Regel hinzu, oder prüfe, ob du dieses Zertifikat überhaupt erwartet hast.

Nach der Behebung erneut prüfen

1. Bei einem Monitor wähle Run now auf der Seite des Monitors.
2. Bei einem Zertifikat ohne Monitor gehe zu Certificates, wähle Add certificate, dann Scan an endpoint, gib die Adresse ein und wähle Scan. Das bestehende Zertifikat wird aktualisiert.

TipDu musst nichts überstürzt beheben – jede Adresse wird automatisch einmal täglich erneut gescannt.