Warum ein gültiges Zertifikat trotzdem ein F ergeben kann

Das Schloss ist ein enges Versprechen

Ein Browser zeigt ein Schloss, wenn drei Dinge gelten: Das Zertifikat verkettet zu einer vertrauenswürdigen Wurzel, es deckt den besuchten Hostnamen ab, und es ist nicht abgelaufen. Das war es. Nichts über angebotene Protokollversionen, akzeptierte Cipher oder Verwundbarkeit für Downgrade-Angriffe.

Eine TLS-Bewertung stellt eine andere Frage: Wie gut ist dieser Endpunkt konfiguriert, nicht nur ob er überhaupt eine verschlüsselte Verbindung aufbauen kann.

Sechs Fehler, die zu einem niedrigen Score führen

Das sind die Ursachen, die wir bei den zwanzigtausend beobachteten Sites am häufigsten sehen, grob nach Schwere sortiert.

• •Zertifikat abgelaufen oder noch nicht gültig — automatisch null, unabhängig von allem anderen.
• •Hostname-Mismatch — das Zertifikat ist gültig, aber für einen anderen Namen. Häufig nach einer Domain-Migration oder wenn ein CDN ohne SNI ein geteiltes Zertifikat ausliefert.
• •Unvollständige Kette — das Intermediate fehlt, sodass manche Clients keinen Pfad zur Wurzel bilden können. Browser kaschieren das oft; API-Clients und Mobile-Stacks nicht.
• •Legacy-Protokolle noch aktiv — TLS 1.0 oder 1.1 neben modernen Versionen zieht den Score nach unten, auch wenn sie niemand nutzt.
• •Schwache Cipher oder keine Forward Secrecy — statischer RSA-Schlüsselaustausch bedeutet, dass ein gestohlener privater Schlüssel aufgezeichneten Verkehr entschlüsselt.
• •Handshake-Fehler — der Server verweigert die Probe komplett, oft wegen strikter SNI-Anforderungen oder einer Firewall-Regel, die Nicht-Browser-Clients blockiert.

Der Reihe nach diagnostizieren

Trennen Sie zuerst Zertifikatsprobleme von Konfigurationsproblemen. Ist das Zertifikat abgelaufen oder falsch zugeordnet, zählt nichts anderes, bis das behoben ist. Ist das Zertifikat in Ordnung, schauen Sie als Nächstes auf die Protokollliste: Sie ist nach der Zertifikatsgültigkeit der größte Einzelfaktor für einen niedrigen Score.

Der Domain-Report bei CertH zeigt, welcher der fünf Bewertungsbereiche Punkte verloren hat, mit konkretem Abzug und Lösung. Das ist meist schneller, als einen vollständigen Scan von Hand zu lesen.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

Die SNI-Falle

Ein Server, der viele Domains hostet, braucht SNI, um das richtige Zertifikat zu wählen. Manche Setups verlangen es und lehnen Clients ab, die es weglassen — für Browser in Ordnung, aber es bricht Monitoring-Tools, ältere Java-Clients und einige API-Bibliotheken. Wenn ein Scanner einen Handshake-Fehler meldet, während Browser normal funktionieren, prüfen Sie das zuerst.

FAQ