Certificaatgezondheid

Certificaatgezondheid laat je in gewone taal zien of een certificaat correct werkt — zodat je problemen opmerkt vóórdat je bezoekers dat doen. Dit is voor iedereen die snel wil weten of een certificaat veilig te vertrouwen is, zonder het certificaat zelf te hoeven lezen.

Overzicht

• InfraNest controleert elk certificaat dat het kent en toont het oordeel bovenaan de pagina van het certificaat.
• Geslaagde controles worden weggestopt, zodat je alleen ziet wat aandacht nodig heeft.
• Knoppen om problemen op te lossen brengen je direct naar de relevante actie of technische details.

Bekijk wat er mis is met een certificaat

1. Ga naar Certificaten.
2. Selecteer een adres om te bekijken wat het serveert, of kies Alle certificaten en open een certificaat.
3. Lees het oordeel bovenaan — het geeft aan wat jouw aandacht nodig heeft en wat te doen. Een ontbrekende tussenliggende verklaart bijvoorbeeld waarom sommige clients een certificaat dat je browser wel accepteert, niet vertrouwen.

De pagina opent met wat jouw aandacht nodig heeft. Geslaagde controles blijven ingeklapt onder checks passed — selecteer Show om ze te lezen. Een knop om het probleem op te lossen brengt je naar de relevante actie of technische details.

Er zijn geen tabbladen om te doorlopen — al het overige dat hier wordt beschreven staat verderop op dezelfde pagina.

Wat elke controle betekent

Vernieuwing is degene die storingen veroorzaakt. De pagina geeft aan wie het certificaat vernieuwt en wanneer. Een verlopen of bijna verlopen certificaat dat niemand vernieuwt, heeft vervanging nodig; een automatische vernieuwing die te laat is, vereist een controle van het vernieuwingssysteem, niet alleen nog een herinnering over de vervaldatum.

De adres- en certificaatdetails laten ook zien wat het certificaat monitort. Zonder monitor wordt een storing pas bij de volgende scan ontdekt in plaats van op het moment dat het gebeurt.

Daarna de controles op het certificaat zelf:

• Sleutel en Handtekening — is de versleuteling van het certificaat sterk genoeg, en is het ondertekend met een methode die nog als veilig geldt? Deze twee zijn kritiek als ze falen: het certificaat is dan zwak, niet alleen onverzorgd.
• Vertrouwen — is dit een certificaat dat browsers accepteren, of een zelfondertekend certificaat?
• Hostnaam — staat het adres dat je monitort daadwerkelijk op het certificaat vermeld? Zo niet, dan geven browsers een waarschuwing.
• Looptijd — een certificaat dat langer geldig is dan de nu toegestane 398 dagen. Browsers wijzen die af.
• Keten — hoe het certificaat werd verstuurd. Zie hieronder.
• CAA — je kunt in DNS een regel publiceren die aangeeft welke bedrijven certificaten mogen uitgeven voor jouw domein. Als de uitgever van dit certificaat niet op die lijst staat, is dat ofwel een fout om te herstellen, ofwel een certificaat dat iemand heeft aangevraagd zonder dat jij dat verwachtte.

Keten en CAA verschijnen alleen wanneer InfraNest hier iets over te melden heeft: een keten wordt alleen vastgelegd wanneer een live controle of een scan het certificaat daadwerkelijk zag worden geserveerd, en CAA alleen wanneer het domein een beleid publiceert om tegen te controleren.

Is het correct geïnstalleerd?

Voor certificaten die op een live adres zijn gezien, bevat het oordeel het resultaat van de keten:

• Correct geïnstalleerd — de volledige keten tot aan een root die browsers vertrouwen. Niets te doen.
• Ontbrekende tussenliggende — alleen het certificaat zelf werd verstuurd. Dit werkt vaak in browsers, maar breekt apps, curl en sommige telefoons, wat het makkelijk maakt om te missen.
• Niet-vertrouwde root of Zelfondertekend — de keten leidt niet terug naar iets dat browsers vertrouwen.

Als een tussenliggend certificaat ontbreekt, vouw dan Technical details uit. Het paneel Hoe los je dit op legt uit wat je aan je server moet toevoegen, met een downloadlink wanneer de uitgever er een publiceert.

NoteAls je browser de site als in orde toont terwijl een controle hier faalt, zie dan "A certificate check fails although the certificate is valid."

Corrigeer wat InfraNest heeft afgeleid

InfraNest vult de details van een certificaat in op basis van het certificaat zelf, en dat kan fout zijn — een gekocht certificaat dat via je hostingprovider vernieuwt, ziet er hetzelfde uit als een certificaat dat niemand vernieuwt. Gebruik om dit te corrigeren het menu met meer acties → Details bewerken bovenaan de pagina:

1. Stel Validatie in — of de uitgever alleen het domein controleerde (DV), het bedrijf erachter (OV), of een uitgebreide controle uitvoerde (EV).
2. Stel Eigenaar in — wie in je team dit certificaat beheert.
3. Vink Zelfverlengend certificaat aan als iets dit voor je vernieuwt. Vervalmeldingen blijven dan informatief in plaats van urgent.
4. Voeg iets vermeldenswaardigs toe bij Notities.

Al het overige — wat het certificaat dekt, wie het uitgaf, wanneer het verloopt, het serienummer en de vingerafdruk — wordt uit het certificaat gelezen en kan hier niet worden bewerkt, omdat het hier wijzigen het certificaat zelf niet zou veranderen.

Wanneer InfraNest je informeert

Je hoeft niet zelf te komen kijken. InfraNest waarschuwt je wanneer een certificaat verloopt of is verlopen, wanneer het certificaat dat op een adres wordt geserveerd verandert, wanneer er een zwak certificaat wordt gevonden, wanneer er een is ingetrokken, en wanneer er een certificaat voor jouw domein wordt uitgegeven dat je niet had verwacht. Je team ontvangt deze meldingen al in de app en per e-mail.

TipGa naar Alerts → Destinations om meldingen ergens anders naartoe te sturen en te kiezen welke van deze meldingen die bestemming ontvangt.

Tips

• Een vernieuwing is pas voltooid als elk adres het nieuwe certificaat serveert. Als één adres nog het vorige certificaat serveert, noemt de sectie over de uitrol dat adres en biedt het Check now aan; het vorige certificaat blijft bewaard als geschiedenis.
• Een certificaat dat InfraNest alleen ooit in een openbaar certificaatlogboek of in de lijst van een provider heeft gezien, heeft geen keten- of monitoringinformatie, omdat niemand heeft waargenomen hoe het werd geserveerd. Daarom staan sommige van deze secties niet bij elk certificaat.