SSL-Zertifikat-Monitoring prüft das Zertifikat, das Ihre Website tatsächlich ausliefert, und warnt Sie rechtzeitig vor dem Ablauf. Läuft ein Zertifikat ab, ersetzen Browser Ihre Website durch eine ganzseitige Warnung wie „Dies ist keine sichere Verbindung“, und die meisten Besucher springen ab. Mit Monitoring erfahren Sie Wochen im Voraus von einem bevorstehenden Ablauf – solange es noch ein Kalendertermin ist und kein Ausfall.
Warum Zertifikate trotzdem ablaufen
Zertifikate haben kurze Laufzeiten, viele werden für 90 Tage ausgestellt und automatisch verlängert. Das macht einen Ablauf seltener, aber nicht unmöglich. Die Verlängerung hängt davon ab, dass mehrere Dinge gleichzeitig funktionieren, und jedes davon kann unbemerkt ausfallen:
Die Validierung schlägt fehl. Die Zertifizierungsstelle muss prüfen, dass Sie die Domain kontrollieren, oft über eine HTTP-Anfrage an den Server oder einen DNS-Eintrag. Eine Firewall-Regel, eine Weiterleitung oder eine DNS-Änderung kann das verhindern.
Der Verlängerungsjob läuft nicht mehr. Die Aufgabe, die Zertifikate verlängert, ist ein geplanter Job wie jeder andere. Wird der Server neu aufgesetzt oder der Job entfernt, wird nichts mehr verlängert.
Das neue Zertifikat wird nicht geladen. Die Verlängerung klappt, aber der Webserver liefert weiter das alte Zertifikat aus, bis er neu geladen wird.
Server laufen auseinander. Hinter einem Load Balancer kann ein Server ein älteres Zertifikat ausliefern als die übrigen.
Manuelle Zertifikate geraten in Vergessenheit. Gekaufte Zertifikate mit einem Jahr Laufzeit verlängert ein Mensch – und Menschen wechseln ihre Aufgaben.
Monitoring betrachtet das Ergebnis von außen: das Zertifikat, das ein Besucher erhält. Damit erfasst es all diese Fälle.
Was Sie überwachen sollten
Erfassen Sie jeden Hostnamen, der HTTPS ausliefert, nicht nur die Hauptwebsite:
Die Hauptdomain und die www-Variante.
Subdomains für Shop, Checkout und Login.
API-Hostnamen, die von Apps und Integrationen genutzt werden.
Webmail und andere Web-Frontends unter eigenen Hostnamen.
Statusseiten, Hilfe-Center und Marketing-Landingpages.
Alte Domains, die nur weiterleiten. Auch die Weiterleitung braucht ein gültiges Zertifikat.
Vergessene Hostnamen sind die übliche Quelle überraschender Warnungen.
Den richtigen Erinnerungszeitpunkt wählen
Die erste Erinnerung sollte früh genug kommen, um eine fehlgeschlagene Verlängerung zu reparieren oder ohne Eile ein neues Zertifikat zu kaufen und zu installieren:
Automatisch verlängerte Zertifikate: eine erste Erinnerung etwa zwei Wochen vor dem Ablauf. Ist das Zertifikat bis dahin nicht verlängert, ist die Verlängerung fehlgeschlagen – und Sie haben noch Zeit, das zu beheben.
Gekaufte Zertifikate: beginnen Sie 30 Tage oder früher, damit Zeit für Freigabe, Validierung und Installation bleibt.
Lassen Sie weitere Erinnerungen näher am Termin folgen und schicken Sie die letzten an einen gemeinsamen Kanal statt in das Postfach einer einzelnen Person. Das SSL-Monitoring von Uptimecheck schickt Erinnerungen vor dem Ablauf, damit sich niemand das Datum merken muss.
Wer die Erinnerungen bekommen sollte
Zertifikatserinnerungen gehen oft an die Person, die das Zertifikat vor Jahren eingerichtet hat. Wechselt diese Person die Rolle oder verlässt das Unternehmen, laufen die Erinnerungen ins Leere. So vermeiden Sie das:
Schicken Sie Erinnerungen an ein gemeinsames Postfach oder einen Team-Chat-Kanal statt an eine persönliche Adresse.
Benennen Sie in Ihrer Dokumentation für jedes Zertifikat eine verantwortliche Person und halten Sie fest, wo es verlängert und installiert wird.
Agenturen sollten pro Kunde festlegen, wer verlängert: die Agentur, der Kunde oder der Hosting-Anbieter. Halten Sie es schriftlich fest – und überwachen Sie in jedem Fall.
Zertifikate an weniger offensichtlichen Stellen
Manche Zertifikate verstecken sich außerhalb des Webservers, an den Sie zuerst denken:
CDNs und Load Balancer terminieren HTTPS selbst und brauchen ein eigenes Zertifikat.
Mailserver nutzen Zertifikate für verschlüsseltes SMTP und IMAP.
Interne Tools wie Admin-Bereiche und Staging-Websites nutzen oft eigene Zertifikate, die niemand verlängert.
Kundendomains: Wenn Ihr Produkt Kunden eigene Domains erlaubt, hat jede davon ein Zertifikat, das ausfallen kann.
Nehmen Sie sie in Ihre Übersicht auf, sobald Sie sie finden. Eine kurze, vollständige Liste ist besser als eine lange mit Lücken.
Auch Domains laufen ab
Ein gültiges Zertifikat nützt nichts, wenn die Domain selbst abläuft. Domains werden meist jährlich oder in noch größeren Abständen verlängert, was sie noch leichter in Vergessenheit geraten lässt. Überwachen Sie den Domain-Ablauf neben SSL. Siehe Domain-Monitoring.
So funktioniert HTTPS dauerhaft
Der Ablauf ist das häufigste Zertifikatsproblem, aber nicht das einzige. Kombinieren Sie Zertifikat-Monitoring mit HTTPS-Uptime-Checks, damit Sie auch hiervon erfahren:
Ein Zertifikat, das den Hostnamen nicht abdeckt, etwa nach dem Hinzufügen einer neuen Subdomain.
Eine unvollständige Kette, die manche Browser und API-Clients ablehnen.
Ein Server, der nach einer Konfigurationsänderung plötzlich ein selbstsigniertes oder Standardzertifikat ausliefert.
Ein Uptime-Monitor auf der HTTPS-URL meldet einen Fehler, sobald die Anfrage fehlschlägt, und macht solche Probleme sichtbar, sobald Besucher sie sehen würden.
Wenn ein Zertifikat doch abläuft
Ist ein Zertifikat bereits abgelaufen:
Verlängern oder neu ausstellen – bei Ihrer Zertifizierungsstelle oder mit Ihrem ACME-Client.
Auf jedem Server installieren, der den Hostnamen ausliefert, einschließlich Load Balancern und CDN-Konfigurationen.
Den Webserver neu laden, damit das neue Zertifikat verwendet wird.
Von außen prüfen – mit einem HTTPS-Check, nicht nur vom Server selbst aus.
Die Ursache finden. Reparieren Sie den Verlängerungsjob, den Validierungsweg oder die vergessene Erinnerung, damit es nicht wieder passiert.
Halten Sie Ihre Kunden auf dem Laufenden, während Sie das Problem beheben. Eine Statusseite zeigt ihnen, dass Sie von dem Problem wissen.
Checkliste für SSL-Monitoring
Erfassen Sie jeden Hostnamen, der HTTPS ausliefert, einschließlich APIs, Webmail und Domains, die nur weiterleiten.
Nehmen Sie jeden Hostnamen ins SSL-Monitoring auf.
Setzen Sie die erste Erinnerung mindestens zwei Wochen im Voraus für automatisch verlängerte Zertifikate und 30 Tage für gekaufte.
Schicken Sie Erinnerungen an einen gemeinsamen Kanal.
Überwachen Sie den Domain-Ablauf für dieselben Domains.
Ergänzen Sie HTTPS-Uptime-Checks, um Hostnamen- und Kettenfehler zu erkennen.
Überwachen Sie den Verlängerungsjob selbst mit einem Heartbeat.
Überprüfen Sie die Liste, wenn Sie Subdomains hinzufügen oder Server wechseln.
Zusammenfassung
Automatische Verlängerung macht abgelaufene Zertifikate seltener, aber nicht unmöglich. Überwachen Sie, was Besucher tatsächlich erhalten, lassen Sie sich früh erinnern und behalten Sie auch Domains und Verlängerungsjobs im Blick.
SSL- und Domain-Monitoring sind in jedem Uptimecheck-Tarif enthalten. Testen Sie es 14 Tage kostenlos, ohne Kreditkarte.