SSL-Zertifikat prüfen und überwachen: Ablauf, Vertrauen, Erinnerung

„SSL-Zertifikat prüfen“ meint meist eine von drei Fragen: Wann läuft es ab, wer hat es signiert, und wird ein Browser ihm vertrauen. Ein SSL-Zertifikat-Checker beantwortet das für das Zertifikat, das ein Server gerade vorzeigt. Er verlängert nichts, und er schreibt dir in drei Wochen keine Mail, solange kein Monitor das übernimmt.

SSL-Zertifikat prüfen: was der Handshake zeigt

Der kostenlose Checker auf dieser Website öffnet eine TLS-Verbindung und hört dort auf. Er funktioniert auch für Hosts, die TLS sprechen, aber kein HTTP — ein Mailserver, eine Datenbank, ein eigener Port — weil er nie eine HTTP-Anfrage schickt. Du gibst einen Hostnamen an und bei Bedarf einen Port; Standard ist 443. Er nennt Aussteller, Inhaber, Gültigkeitsdaten, Fingerabdruck, Protokoll, die abgedeckten Namen, ob das Zertifikat abgelaufen ist und ob die Kette vertrauenswürdig ist.

curl -fsS https://api.hypermonitors.com/v1/tools/tls \
  -H 'content-type: application/json' \
  -d '{"host":"example.com","port":443}'

Nur öffentliche Hostnamen. Private und interne Adressen werden abgelehnt. Der Endpunkt ist rate-limited. „Vertrauenswürdig“ heißt, dass die Kette zum Prüfzeitpunkt verifiziert hat — kein Versprechen für jeden Browser und kein Schwachstellen-Scan.

Ablauf prüfen ist nicht dasselbe wie „vertrauenswürdig“

Ein Zertifikat kann innerhalb seiner Daten liegen und trotzdem abgelehnt werden. Typische Gründe: Es ist selbst signiert, der Server hat kein Zwischenzertifikat mitgeschickt, oder der Name im Zertifikat ist nicht der Name, mit dem du dich verbunden hast. Ein fehlendes Zwischenzertifikat ist der Fall, der vom Client abhängt — ein Browser hat es im Cache, ein anderer nicht, und nur einer zeigt einen Fehler.

Der Ablauf ist der vorhersehbare Ausfall. Let’s Encrypt und die anderen automatischen Aussteller erneuern ungefähr 30 Tage vor dem Enddatum, deshalb bedeutet ein Zertifikat innerhalb von 14 Tagen meist, dass die Erneuerung schon stehen geblieben ist. Die Gründe sind alltäglich: ein geänderter DNS-Eintrag, eine Firewall-Regel, ein abgelaufenes API-Token, eine volle Platte. Das Zertifikat wirkt gesund, bis zu dem Morgen, an dem es das nicht mehr ist.

SSL-Zertifikat überwachen, statt jedes Mal von Hand zu prüfen

Ein Checker sagt dir, wie es heute aussieht. Das Überwachen ist eine Funktion der bezahlten Tarife: Der Gratis-Tarif enthält keine SSL-Alarme. Ab Solo kann ein HTTP-Monitor das Zertifikat seiner URL mitprüfen (eingeschaltet, sobald der Tarif es erlaubt), oder du legst einen eigenen SSL-Monitor an. Das Warnfenster steht standardmäßig auf 14 Tagen und lässt sich von 1 bis 90 Tagen einstellen.

Erinnerungen gehen einmal pro Stufe raus, und nur für Stufen, die in dein Fenster fallen. Die Stufen sind 30, 14, 7, 3 und 1 Tag. Lässt du die Voreinstellung bei 14, bekommst du 14, 7, 3 und 1. Hebst du sie auf 30, kommt die Erinnerung nach 30 Tagen dazu. Stellst du sie auf 7, haben die früheren Stufen für diesen Monitor nie existiert. Dieselbe Leiter macht aus „check SSL expiry“ einen Alarm statt eines Kalendereintrags.

Leg die Erinnerung dorthin, wo du sie vor dem Termin auch liest. E-Mail passt zu einem Datum, das noch Tage entfernt ist; ein Chat-Kanal passt zu den letzten Tagen, wenn jemand handeln muss. SMS taugt schlecht für eine Warnung, die man kommen sieht — und sie ist im Gratis-Tarif ohnehin nicht enthalten.