Eine Zertifikatswarnung ist die Meldung des Browsers, dass er dem Zertifikat einer Seite nicht trauen kann. Sie unterbricht den Aufruf und verlangt eine Entscheidung.
- Zertifikatswarnung
Die Meldung des Browsers, dass er dem Zertifikat einer Seite nicht trauen kann.
Beispiel: „Nach dem Ablauf des Zertifikats bekam jeder Besucher eine Zertifikatswarnung.“Auch: SSL-Warnung, Sicherheitswarnung. Die Browser zeigen dazu einen Code an, der die Ursache nennt.
Abgrenzung zu Mixed Content: Dort ist das Zertifikat in Ordnung, nur einzelne Teile kommen unverschlüsselt.
Die vier häufigsten Ursachen einer Zertifikatswarnung
Abgelaufen, falscher Name, unbekannter Aussteller, unvollständige Kette. Das abgelaufene Zertifikat ist der häufigste Fall und zugleich der ärgerlichste, weil er sich durch automatische Verlängerung vollständig vermeiden lässt. Der falsche Name tritt auf, wenn die Seite über eine Adresse aufgerufen wird, die nicht im Zertifikat steht, etwa mit und ohne www.
Ein unbekannter Aussteller bedeutet, dass die Zertifizierungsstelle nicht im Speicher des Geräts steht; das passiert bei selbst ausgestellten Zertifikaten und bei firmeneigenen Stellen. Die unvollständige Kette ist der tückischste Fall: Sie fällt im einen Browser auf und im anderen nicht, weil manche das fehlende Zwischenzertifikat selbst nachladen.
Warum das Wegklicken gefährlich ist
Weil die Warnung genau dann berechtigt wäre, wenn jemand dazwischensitzt. Wer sich angewöhnt, sie wegzuklicken, hat die Unterscheidung zwischen einem abgelaufenen Zertifikat und einem Angriff aufgegeben. Für Betreiber folgt daraus eine Pflicht: Eine Website, die ihre Besucher regelmäßig an Warnungen gewöhnt, erzieht sie zu genau dem Verhalten, das sie angreifbar macht.
Was Betreiber dagegen tun
Drei Dinge, die zusammen das Problem erledigen. Die Verlängerung läuft automatisch und nicht über einen Kalendereintrag. Eine Überwachung meldet, wenn die Restlaufzeit unter zwei Wochen fällt, denn auch Automatik fällt aus. Und das Zertifikat deckt alle Adressen ab, unter denen die Seite erreichbar ist, einschließlich der Umleitungen.