Ein abgelaufenes SSL-Zertifikat ist einer der am einfachsten vermeidbaren Ausfälle.
Ein ablaufendes SSL-Zertifikat gehört zu den Problemen, die man kaum als unvorhersehbar bezeichnen kann. Das Ablaufdatum ist lange im Voraus bekannt, und trotzdem sind abgelaufene Zertifikate noch immer eine häufige Ursache für die Nichterreichbarkeit von Websites und Onlineshops.
Hinzu kommt, dass das Problem meist plötzlich sichtbar wird. Am Abend funktioniert noch alles einwandfrei, am nächsten Tag warnt der Browser die Benutzer vor der Verbindung mit der Website. Bei einem Onlineshop kann das zu einem tatsächlichen Verlust von Bestellungen führen.
Aber das Zertifikat wird doch automatisch erneuert
Die automatische Erneuerung von Zertifikaten, beispielsweise mit Certbot, reduziert das Risiko deutlich. Das bedeutet jedoch nicht, dass Sie die Überwachung der Zertifikatsgültigkeit vollständig vernachlässigen können.
Der Erneuerungsprozess kann nach einer Änderung der Serverkonfiguration, der DNS-Einstellungen, der IP-Adresse oder der Art und Weise, wie eine Domain verwaltet wird, nicht mehr funktionieren. Bei einer Migration auf einen neuen Server kann sich außerdem herausstellen, dass der für die automatische Erneuerung zuständige Prozess nicht übernommen wurde.
Auch manuell ausgestellte Zertifikate oder Domains mit ungewöhnlicher Konfiguration können problematisch sein. Über viele Wochen hinweg kann alles einwandfrei funktionieren, sodass eine fehlgeschlagene Erneuerung unbemerkt bleibt.
Warum SSL-Monitoring unabhängig vom Server funktionieren sollte
Der Server selbst kann davon ausgehen, dass mit dem Zertifikat alles in Ordnung ist. Das bedeutet jedoch nicht zwangsläufig, dass Benutzer tatsächlich ein gültiges Zertifikat erhalten.
Externes Monitoring überprüft die Domain ähnlich wie ein Besucher der Website. So lässt sich erkennen, ob das Zertifikat ungültig ist, bald abläuft oder seine Konfiguration nicht mehr mit der tatsächlichen Umgebung übereinstimmt.
Wie früh sollte vor dem Ablauf eines Zertifikats gewarnt werden?
Es gibt keinen Wert, der für jede Domain gleichermaßen geeignet ist. Bei automatisch erneuerten Zertifikaten kann ein Vorlauf von mehreren Tagen oder einigen Wochen sinnvoll sein. Bei manuell erneuerten Zertifikaten sollte deutlich mehr Zeit für eine Reaktion eingeplant werden.
Entscheidend ist, dass die Warnmeldung eintrifft, bevor das Ablaufen des Zertifikats für die Benutzer zum Problem wird. Eine Benachrichtigung erst am Tag des Ablaufs ist praktisch nutzlos, wenn die für den Server verantwortliche Person zu diesem Zeitpunkt nicht verfügbar ist.
Was sollte außer dem Ablaufdatum überwacht werden?
SSL-Monitoring kann eine erste Kontrollinstanz sein, doch auch andere Aspekte der HTTPS-Konfiguration sollten berücksichtigt werden. Je nach Umgebung können unter anderem eine korrekte Zertifikatskette, die Domain, für die das Zertifikat ausgestellt wurde, sowie die Serverkonfiguration von Bedeutung sein.
Die wichtigste Regel ist einfach: Warten Sie nicht auf eine Browserwarnung, um zu erfahren, dass Ihr Zertifikat abgelaufen ist. Besser ist es, rechtzeitig informiert zu werden, solange sich das Problem noch in Ruhe beheben lässt.
SSL-Monitoring als einfache Sicherheitsmaßnahme
Im Gegensatz zu vielen anderen Problemen im Produktivbetrieb muss das Ablaufen eines Zertifikats nicht vorhergesagt werden. Es reicht aus, seine Gültigkeit regelmäßig zu überprüfen und rechtzeitig auf das bevorstehende Ablaufdatum hinzuweisen.
Das ist eine der einfachsten Formen des Monitorings und kann gleichzeitig verhindern, dass eine Website aufgrund eines vollständig vorhersehbaren Problems nicht mehr erreichbar ist.
