Een certificaatcontrole mislukt terwijl het certificaat geldig is

Als je browser een geldig slotje toont maar InfraNest een probleem meldt, of een SSL-monitor meldt dat je site plat ligt, is dit artikel voor jou.

Overzicht

• Browsers zijn soepel: ze vullen ontbrekende certificaatonderdelen zelf aan en onthouden wat ze eerder bij andere sites zagen.
• Onze controles, en de apps, betaalproviders en andere servers die verbinding maken met je site, zijn niet zo soepel.
• Wanneer onze resultaten afwijken van je browser, zien we meestal wat die andere bezoekers zien, niet wat jij ziet.

Zoek uit welke controle mislukt

1. Ga naar Certificaten en open het certificaat.
2. Beveiligingsstatus bovenaan toont alleen de controles die aandacht nodig hebben. Selecteer een rij om te lezen wat het betekent en wat je moet doen.

Als het om een SSL-monitor gaat die plat ligt, open dan de monitor onder Monitoring. De melding is minder specifiek: Couldn't establish a secure (SSL/TLS) connection, of SSL certificate problem bij een websitemonitor. Open in beide gevallen het certificaat zoals hierboven om te zien welk onderdeel faalde.

Een onvolledige certificaatketen oplossen

Als Keten Ontbrekende tussenliggende aangeeft, verstuurt je server wel zijn eigen certificaat, maar niet het certificaat dat het koppelt aan een certificaatautoriteit die browsers vertrouwen. Browsers hebben dat onderdeel vaak al onthouden van een andere site, dus merken ze het niet op — apps en onze controles wel.

1. Selecteer Keten bekijken.
2. Open het paneel Hoe los je dit op. Het bevat een link naar het ontbrekende tussencertificaat waar de uitgever het publiceert.
3. Voeg het tussencertificaat toe aan het certificaatbestand van je server (meestal de bundle of full chain genoemd).
4. Herstart de webserver. De meeste hostingproviders en controlepanelen hebben hiervoor een apart veld.

Een ontbrekend adres op het certificaat oplossen

Als Hostnaam aangeeft dat het adres van de site niet op het certificaat staat, bevat het certificaat dat je hebt niet het exacte adres dat gecontroleerd wordt. Een monitor die bijvoorbeeld www.example.com controleert, mislukt als het certificaat alleen example.com dekt.

1. Richt de monitor op een adres dat het certificaat dekt,
2. of vraag een certificaat aan dat het benodigde adres bevat.

NoteEen certificaat voor *.example.com dekt www.example.com, maar niet example.com zelf, en ook niet shop.eu.example.com.

Een certificaatmismatch tussen servers oplossen

Je site kan verschillende certificaten aan verschillende bezoekers serveren. Dit gebeurt wanneer:

• het adres naar meerdere servers wijst, en een daarvan nog een oud certificaat heeft;
• de site een IPv6-adres heeft, en de server daarachter nooit het nieuwe certificaat heeft gekregen;
• er een load balancer of CDN voor staat, en het certificaat daarvan niet overeenkomt met dat op je server;
• de server meerdere sites host en een standaardcertificaat afgeeft voor een adres dat hij niet herkent.

Als wij een ander certificaat zien op een adres dat we volgen, krijg je een melding Certificate changed, en verschijnt het andere certificaat als aparte rij op de pagina Certificaten. Open die rij om te zien welk certificaat onze controle ontving, en installeer vervolgens het juiste certificaat op de server of dienst die het afgeeft.

Een CAA-uitgeversmismatch oplossen

Als CAA aangeeft dat de uitgever niet is toegestaan door het CAA-beleid van het domein, heeft je DNS een regel die bepaalt welke bedrijven certificaten mogen uitgeven voor je domein, en de uitgever van dit certificaat staat daar niet in. Het certificaat werkt nog steeds, maar je volgende vernieuwing kan worden geweigerd.

1. Selecteer CAA beheren.
2. Voeg de uitgever toe aan de regel, of controleer of je dit certificaat eigenlijk wel verwachtte.

Controleer opnieuw nadat je het hebt opgelost

1. Voor een monitor: selecteer Run now op de pagina van de monitor.
2. Voor een certificaat zonder monitor: ga naar Certificaten, selecteer Certificaat toevoegen, kies Endpoint scannen, voer het adres in en selecteer Scannen. Het bestaande certificaat wordt bijgewerkt.

TipJe hoeft niet overhaast te handelen — elk adres wordt automatisch één keer per dag opnieuw gescand.