Wenn Sie eine https://-Adresse öffnen, fragt der Browser zuerst den Server nach seinem Zertifikat. Das Zertifikat beantwortet zwei Fragen: Darf dieser Server wirklich für diesen Namen sprechen, und mit welchem Schlüssel soll die Unterhaltung verschlüsselt werden?

Der Name SSL ist veraltet. Moderne Verbindungen verwenden TLS, das Protokoll Transport Layer Security. Man sagt trotzdem weiterhin „SSL-Zertifikat“, und im Alltag meinen beide Begriffe dasselbe.

Was in einem Zertifikat steht

Ein Zertifikat ist ein signiertes Dokument. MDN beschreibt es als Verknüpfung der Schlüssel einer Website mit ihrem Domainnamen. Seine wichtigsten Bestandteile:

  • Die Namen, für die es gültig ist, zum Beispiel example.com und www.example.com.
  • Der öffentliche Schlüssel des Servers.
  • Der Gültigkeitszeitraum: ein Anfangs- und ein Enddatum. RFC 5280 nennt sie notBefore und notAfter, und der Zeitraum schließt beide Enden ein.
  • Der Aussteller, die Zertifizierungsstelle, die dafür bürgt.
  • Eine Signatur des Ausstellers, mit der ein Browser prüfen kann, dass nichts verändert wurde.

Was es leistet

  • Identität. Der Browser prüft, dass das Zertifikat den Namen in der Adressleiste abdeckt und dass eine Zertifizierungsstelle, der er vertraut, es signiert hat.
  • Verschlüsselung. Mit dem öffentlichen Schlüssel können sich Browser und Server auf Schlüssel für eine verschlüsselte Verbindung einigen, sodass andere auf dem Weg nicht lesen oder verändern können, was gesendet wird.

Die Vertrauenskette

Ein Server legt selten ein Zertifikat vor, das direkt von einer Stelle signiert ist, die der Browser bereits kennt. Er legt sein eigenes Zertifikat samt Zwischenzertifikaten vor, die es mit einem vertrauenswürdigen Stammzertifikat verbinden. RFC 5280 beschreibt das als Zertifizierungspfad: das Zertifikat der Website sowie null oder mehr Zertifikate von Zertifizierungsstellen, die zu einem Vertrauensanker führen, den der Nutzer bereits besitzt. Fehlt ein Glied oder ist es ungültig, lehnt der Browser den ganzen Pfad ab.

Warum Zertifikate ablaufen

Jedes Zertifikat hat ein Enddatum. Eine begrenzte Lebensdauer begrenzt, wie lange ein Fehler oder ein gestohlener Schlüssel nutzbar bleibt. Sie bedeutet aber auch, dass Zertifikate erneuert werden müssen. Die Erneuerung ist oft automatisiert, und Automatisierung kann ohne sichtbares Zeichen ausfallen. Nach dem Enddatum vertrauen Browser der Website nicht mehr und zeigen eine ganzseitige Warnung, obwohl mit dem Server alles in Ordnung ist. Siehe So verhindern Sie den Ablauf von SSL-Zertifikaten.

Was ein Zertifikat nicht belegt

Ein gültiges Zertifikat besagt, dass die Verbindung verschlüsselt ist und der Name passt. Es besagt nicht, dass die Website ehrlich, sicher oder fehlerfrei ist. Es besagt auch nicht, dass die Anwendung funktioniert.

SSL-Zertifikate in UptimeWire

Für jede Website, deren Adresse mit https:// beginnt, baut UptimeWire alle sechs Stunden eine echte gesicherte Verbindung auf. Es prüft die Daten, die Kette und ob das Zertifikat den Hostnamen abdeckt. Ein fehlerhaftes Zertifikat oder eines kurz vor seinem Enddatum löst eine Warnung per E-Mail und Telegram aus. Wie viele Tage im Voraus, legen Sie für jede Website selbst fest.

Ist der Server nicht erreichbar, wird das Ergebnis als unbekannt angezeigt und nicht als Zertifikatsfehler. UptimeWire warnt Sie. Zertifikate erneuert oder installiert es nicht.