Sicherheitszertifikat

Was wir prüfen

Wir bauen eine verschlüsselte Verbindung zum Server der Website auf und lesen das Sicherheitszertifikat aus:

• Ist es gültig? Ein abgelaufenes, selbst ausgestelltes oder für einen anderen Domainnamen ausgestelltes Zertifikat ist ein schwerer Mangel.
• Läuft es bald ab? Bei weniger als 14 Tagen Restlaufzeit warnen wir.
• Welche TLS-Version verwendet der Server? TLS 1.0 und 1.1 gelten als veraltet und sind ein schwerer Mangel: aktuelle Browser verbinden sich damit nicht mehr.

Im Bericht siehst Du, bis wann das Zertifikat gültig ist und welche TLS-Version zum Einsatz kam.

Warum das wichtig ist

Das Zertifikat ist der Ausweis der Website. Es bestätigt dem Browser, dass er wirklich mit dem richtigen Server spricht und nicht mit einem Betrüger dazwischen.

Ist das Zertifikat ungültig oder abgelaufen, zeigt der Browser eine ganzseitige Warnung wie «Ihre Verbindung ist nicht privat». Fast alle Besucher brechen an dieser Stelle ab, und wer trotzdem weiterklickt, hat danach wenig Vertrauen. Für Google ist die Seite in diesem Zustand praktisch nicht erreichbar.

Abgelaufene Zertifikate sind die häufigste Ursache solcher Warnungen. Sie entstehen meist, weil die automatische Erneuerung nicht mehr funktioniert, etwa nach einem Umzug der DNS-Einträge, oder weil ein gekauftes Zertifikat jährlich von Hand erneuert werden müsste und das niemand im Kalender hat.

So behebst Du es

Ungültiges oder abgelaufenes Zertifikat

1. Melde Dich beim Hosting-Anbieter an und prüfe in der Domain-Verwaltung den Status des Zertifikats.
2. Stell es neu aus, meist mit einem Klick bei «SSL» oder «Let's Encrypt».
3. Deckt das Zertifikat nur beispiel.ch, nicht aber www.beispiel.ch ab, nimm beide Namen auf.

Automatische Erneuerung sicherstellen

Let's Encrypt erneuert Zertifikate automatisch, aber nur, wenn die Domain noch auf den Server zeigt, der das Zertifikat beantragt. Wurden die DNS-Einträge geändert, etwa für einen neuen E-Mail-Anbieter oder ein CDN, prüfe die Erneuerung. Bei gekauften Zertifikaten trägst Du das Ablaufdatum in den Kalender ein und lässt Dich vier Wochen vorher erinnern.

Veraltete TLS-Versionen

Bitte den Hoster, TLS 1.0 und 1.1 abzuschalten und nur TLS 1.2 und 1.3 zuzulassen. Auf einem eigenen Server mit Apache lautet die Einstellung SSLProtocol -all +TLSv1.2 +TLSv1.3, bei nginx ssl_protocols TLSv1.2 TLSv1.3;.

So prüfst Du es selbst

Klick im Browser auf das Symbol links neben der Adresse und dann auf die Angaben zur Verbindung oder zum Zertifikat. Dort siehst Du, wer das Zertifikat ausgestellt hat und bis wann es gültig ist. Der kostenlose Test von SSL Labs (ssllabs.com/ssltest) zeigt zusätzlich alle unterstützten TLS-Versionen.

Häufige Fragen

Warum läuft ein Zertifikat schon nach drei Monaten ab?

Zertifikate von Let's Encrypt sind bewusst nur wenige Wochen bis Monate gültig und werden automatisch erneuert. Das ist sicherer als lange Laufzeiten. Problematisch wird es nur, wenn die automatische Erneuerung nicht funktioniert.

Was bedeutet «TLS 1.0» oder «TLS 1.1»?

Das sind veraltete Versionen des Verschlüsselungsprotokolls mit bekannten Schwächen. Aktuelle Browser verweigern sie. Der Server sollte TLS 1.2 und TLS 1.3 verwenden.