Die Warnung, die
alle Besucher sehen.
Ein abgelaufenes Zertifikat ist kein kleiner Schönheitsfehler. Der Browser zeigt eine ganzseitige Warnung, und die meisten Menschen klicken nicht weiter. Die Seite ist damit praktisch offline – obwohl der Server einwandfrei läuft.
Was der Browser eigentlich meldet
Ein Zertifikat bestätigt, dass die Verbindung zu genau dieser Adresse verschlüsselt ist und wirklich zu diesem Server gehört. Es hat ein Ablaufdatum – bei den verbreiteten kostenlosen Zertifikaten sind das 90 Tage, bei gekauften meist ein Jahr.
- „Ihre Verbindung ist nicht privat" / NET::ERR_CERT_DATE_INVALID – das Zertifikat ist abgelaufen oder noch nicht gültig.
- ERR_CERT_COMMON_NAME_INVALID – das Zertifikat gehört zu einer anderen Adresse, oft: es gilt für die Domain ohne „www", aufgerufen wurde sie aber mit.
- ERR_CERT_AUTHORITY_INVALID – der Aussteller ist dem Browser unbekannt, typisch für selbst erstellte Zertifikate.
- Gemischte Inhalte – die Seite lädt über „https", zieht aber einzelne Bilder oder Skripte über „http". Dann bleibt das Schloss aus, obwohl das Zertifikat stimmt.
Sofort prüfen
- Die Seite mit „https://" aufrufen und auf das Schloss neben der Adresse klicken. Dort steht, bis wann das Zertifikat gilt und für welche Adressen.
- Beide Schreibweisen testen: mit und ohne „www". Häufig gilt das Zertifikat nur für eine davon.
- Im Verwaltungsbereich des Hosters nach „SSL" oder „Zertifikate" sehen. Dort steht, ob die automatische Erneuerung aktiv ist.
- Prüfen, ob die Domain noch auf denselben Server zeigt. Nach einem Umzug erneuert sich das Zertifikat nicht mehr, weil die Prüfung ins Leere läuft.
Die Abhilfe
In den meisten Fällen ist es ein Klick: Beim Hoster das kostenlose Zertifikat erneut ausstellen lassen und die automatische Erneuerung einschalten. Danach beide Schreibweisen ins Zertifikat aufnehmen.
- Zertifikat neu ausstellen – für die Domain und die www-Variante.
- Automatische Erneuerung aktivieren. Ohne sie kommt dieselbe Warnung in 90 Tagen wieder.
- Weiterleitung von „http" auf „https" einschalten, damit niemand auf der unverschlüsselten Fassung landet.
- Gemischte Inhalte aufräumen: In den Entwicklerwerkzeugen zeigt die Konsole jede Ressource, die noch über „http" geladen wird.
- Im Browser hart neu laden und zusätzlich in einem privaten Fenster prüfen – alte Warnungen werden zwischengespeichert.
Damit es nicht wiederkommt
- Automatische Erneuerung an, überall. Das ist der einzige zuverlässige Schutz.
- Eine Erinnerung im Kalender zwei Wochen vor Ablauf, solange etwas von Hand erneuert wird.
- Nach jedem Server- oder Domainumzug das Zertifikat neu prüfen, nicht erst, wenn jemand anruft.
- Eine einfache Überwachung, die die Startseite regelmäßig aufruft und meldet, wenn sie nicht sauber antwortet.
Verschlüsselung ist außerdem kein reines Technikthema. Suchmaschinen bevorzugen verschlüsselte Seiten seit Jahren, und Formulare ohne Verschlüsselung sind bei personenbezogenen Daten nicht haltbar.