Nie wieder ein abgelaufenes SSL-Zertifikat.

Wofür Leute das benutzen

• Ablaufende SSL-Zertifikate rechtzeitig erneuern, bevor Kunden Fehlermeldungen sehen
• Zertifikate aller Kunden-Domains als Agentur zentral überwachen
• Unerwartete Aussteller-Wechsel bemerken (Hinweis auf Fehlkonfiguration oder Angriff)

SSL-Zertifikat-Laufzeit: der Fahrplan bis 47 Tage

Zertifikate werden in mehreren Stufen kürzer gültig. Das CA/Browser-Forum hat den Fahrplan im Frühjahr 2025 mit dem Beschluss SC-081v3 festgelegt; er betrifft jedes öffentlich vertrauenswürdige TLS-Zertifikat, unabhängig vom Aussteller:

Maßgeblich ist der Tag der Ausstellung, nicht der Tag im Kalender: Ein Zertifikat, das vor einem Stichtag mit der längeren Laufzeit ausgestellt wurde, bleibt bis zu seinem Ende gültig. Spürbar wird jede Stufe deshalb erst bei der nächsten Erneuerung — und dann für alle Hosts gleichzeitig. Let’s Encrypt liegt mit 90 Tagen ohnehin unter jeder dieser Grenzen, hat aber am 4. Juni 2025 den Versand der Ablauf-Erinnerungsmails eingestellt. Wer sich bis dahin auf diese Mails verlassen hat, bekommt seitdem keine Warnung mehr.

Warum die automatische Zertifikatserneuerung trotzdem scheitert

Die automatische Erneuerung ist eingerichtet, und das Zertifikat läuft trotzdem ab. Diese Fälle stecken meistens dahinter:

• Erneuert, aber nicht neu geladen — das neue Zertifikat liegt auf der Platte, nginx oder Apache halten das alte im Speicher, bis ein reload kommt.
• Port 80 dichtgemacht — die HTTP-01-Prüfung läuft über Port 80. Wird der in der Firewall geschlossen, scheitert die Erneuerung still.
• Abgelaufenes API-Token beim DNS-Anbieter, über das die DNS-01-Prüfung läuft.
• Nur ein Server von zweien hinter dem Loadbalancer erneuert — die Hälfte der Besucher sieht das alte Zertifikat.
• Zweitkopien von Hand gepflegt: dasselbe Zertifikat liegt zusätzlich im CDN, auf der Firewall oder im Mailserver und wird dort nie mitgezogen.
• Die vergessene Subdomain — staging., alt., webmail. standen nie im Erneuerungsskript.
• Unvollständige Zertifikatskette: Manche Browser holen das fehlende Zwischenzertifikat selbst nach, curl und ältere Android-Geräte nicht.

Was diese Wache dagegen tut: Sie liest einmal am Tag über einen TLS-Handshake zu Host und Port zwei Angaben aus dem tatsächlich ausgelieferten Zertifikat — Ablaufdatum und Aussteller. Ab 30 Resttagen gilt der Eintrag als Warnung und erinnert dann täglich bis zur Erneuerung, höchstens eine Mail je Eintrag und Tag; dazu kommt eine Warnung, sobald der Aussteller wechselt. Weil sie das ausgelieferte Zertifikat prüft und nicht die Datei auf der Platte, fällt der erste Fall aus der Liste sofort auf. Nicht auffallen kann ihr, was hinter dem Loadbalancer auf dem anderen Server liegt oder gar nicht erst eingetragen ist. Sie prüft außerdem nicht, ob die Kette vollständig ist, ob der Hostname im Zertifikat steht oder ob es zurückgezogen wurde. Standard-Port ist 443, jeder andere lässt sich eintragen — 465 und 993 für Mailserver, 8443 für Verwaltungsoberflächen.

Häufige Fragen zu Zertifikatswache