Sieh, wann ein Zertifikat abläuft, wer es ausgestellt hat und ob Browser ihm tatsächlich vertrauen.
Wie lange vor Ablauf sollte gewarnt werden?
Üblich sind 30 Tage für die erste Warnung — genug Spielraum, falls eine Erneuerung still fehlschlägt. Automatisierte Zertifikate erneuern sich rund 30 Tage vor Ablauf; ein Zertifikat mit weniger als 14 Tagen Restlaufzeit bedeutet meist, dass die Automatisierung bereits defekt ist.
Was heißt „nicht vertrauenswürdig“, wenn das Zertifikat gültig ist?
Gültigkeit und Vertrauen sind zweierlei. Ein Zertifikat kann im Gültigkeitszeitraum liegen und trotzdem abgelehnt werden: weil es selbstsigniert ist, weil in der ausgelieferten Kette ein Zwischenzertifikat fehlt oder weil es für einen anderen Hostnamen ausgestellt wurde. Das fehlende Zwischenzertifikat ist der Klassiker — es funktioniert oft in einem Browser und scheitert im nächsten.
Ich nutze Let's Encrypt mit automatischer Erneuerung. Brauche ich das trotzdem?
Gerade deshalb: Solange die Automatisierung läuft, schaut niemand hin — und am Tag, an dem sie still ausfällt, erfährst du es von Kunden. Erneuerungen scheitern aus banalen Gründen: ein geänderter DNS-Eintrag, eine Firewall-Regel, ein abgelaufenes API-Token, eine volle Festplatte.