Ein SSL-Zertifikat ist eine von einer Zertifizierungsstelle beglaubigte Datei, mit der ein Server nachweist, dass er zu einer bestimmten Domain gehört. Es enthält den öffentlichen Schlüssel des Servers, die Domain und eine Laufzeit. Erst damit kann ein Browser eine Seite über HTTPS abrufen.
- SSL-Zertifikat
Eine beglaubigte Datei, mit der ein Server nachweist, dass er zu einer Domain gehört.
Beispiel: „Das SSL-Zertifikat läuft in zwei Wochen ab und wird automatisch verlängert.“Auch: TLS-Zertifikat. Die Verschlüsselung selbst macht TLS; der Name SSL hält sich aus der Zeit des Vorgängerprotokolls.
Abgrenzung zum Protokoll: Das Zertifikat ist der Nachweis, TLS das Verfahren. Ein gültiges Zertifikat mit veralteter Protokollversion hilft nicht weiter.
Was ein SSL-Zertifikat nachweist
Dass der Server den passenden geheimen Schlüssel zur Domain besitzt. Die Zertifizierungsstelle prüft dafür die Kontrolle über die Domain, etwa über einen Eintrag im Namensdienst oder eine Datei auf dem Server, und beglaubigt das Ergebnis mit ihrer Signatur.
Was es nicht nachweist, ist die Seriosität des Betreibers. Auch eine betrügerische Seite bekommt ein gültiges Zertifikat, sobald sie die Domain kontrolliert. Das Schloss im Browser sagt also, dass die Verbindung sicher ist, nicht, dass der Anbieter vertrauenswürdig ist.
Welche Arten von SSL-Zertifikaten es gibt
Nach Prüfumfang drei Stufen: domainvalidiert, wobei nur die Kontrolle über die Domain geprüft wird, organisationsvalidiert mit Prüfung des Unternehmens, und erweitert validiert mit der strengsten Prüfung. Für die Verschlüsselung selbst macht die Stufe keinen Unterschied.
Nach Umfang unterscheiden sich Einzelzertifikate, Wildcard-Zertifikate für alle Unterdomains einer Domain und Zertifikate für mehrere Namen. Welche Variante passt, hängt daran, wie viele Subdomains im Spiel sind und ob laufend neue dazukommen.
Was bei der Verlängerung des SSL-Zertifikats schiefgeht
Das Vergessen. Zertifikate laufen aus, und ein abgelaufenes macht die Seite im Browser zur Warnseite, bei der kaum jemand weiterklickt. Automatische Verlängerung ist deshalb der Normalfall, und Server Monitoring prüft, ob sie läuft.
Der zweite Fall ist die halbe Kette. Wird nur das eigene Zertifikat eingebunden und nicht das Zwischenzertifikat darüber, funktioniert die Seite in einem Browser und bricht im nächsten ab. Prüfen lässt sich das mit jedem öffentlichen Zertifikatstest, und zwar nach jedem Umzug.