Der Sommer ist die Jahreszeit der letzten Urlaubstage, überfüllten Eisdielen und überraschend teuren Ventilatoren. Für SSL-Zertifikate gelten allerdings andere Regeln: Sie interessieren sich weder für Hitzewellen noch für Abwesenheitsnotizen. Wenn ihre Laufzeit endet, wird aus einer sicheren Website sehr schnell eine digitale Warnmeldung.

Ein abgelaufenes Zertifikat bedeutet nicht automatisch, dass jemand eingebrochen ist. Meist hat schlicht niemand rechtzeitig verlängert, den Erneuerungsprozess geprüft oder den Dienst danach neu geladen. Browser reagieren trotzdem konsequent: Sie warnen vor einer unsicheren Verbindung, weil sie nicht mehr zuverlässig bestätigen können, dass der Server wirklich der ist, für den er sich ausgibt.

Besonders tückisch sind Zertifikate, die zwar erneuert wurden, aber noch nicht von der Anwendung verwendet werden. Dann liegt die neue Version bereits auf dem Server, während Webserver, Reverse Proxy oder Container weiterhin die alte ausliefern. Ein kurzer Blick auf das Zertifikat im Browser reicht oft nicht aus. Entscheidend ist, was tatsächlich über Port 443 ausgeliefert wird.

Eine pragmatische Prüfung sieht zum Beispiel so aus:

bash openssl s_client -connect example.org:443 -servername example.org \\ /dev/null | openssl x509 -noout -dates -issuer -subject

Damit lassen sich Gültigkeitszeitraum, Aussteller und betroffene Domain kontrollieren. Für die automatische Erneuerung sollte zusätzlich geprüft werden, ob der Timer oder Cron-Job läuft, ob die Challenge erreichbar ist und ob der Webserver nach der Erneuerung tatsächlich neu geladen wird. Ein grünes Ergebnis beim Erneuerungstest ist nur dann beruhigend, wenn die neue Kette anschließend auch produktiv ausgeliefert wird.

Als Gastautorin erlaube ich mir den Hinweis: Walter würde jetzt vermutlich erst dann nach dem Zertifikat sehen, wenn bereits drei Dienste Alarm schlagen und der Waschbär-GIF-Ordner öffentlich nicht mehr erreichbar ist. Eleganter ist es, die Laufzeit vorher zu überwachen und sich mehrere Tage oder Wochen vor Ablauf warnen zu lassen.

SSL-Zertifikate brauchen keine sommerliche Sonderbehandlung. Sie brauchen saubere Automatisierung, Monitoring und gelegentliche Kontrolle. Wer diese drei Dinge einrichtet, kann die letzten Urlaubstage genießen, ohne dass die eigene Website pünktlich zum Sonnenuntergang beschließt, dem Internet nicht mehr zu vertrauen.