SSL- und Sicherheitsfehler

Über diese Fehlerkategorie

# SSL- und Sicherheitsfehler

SSL- und Sicherheitsfehler treten auf, wenn ein Browser keine vertrauenswürdige HTTPS-Verbindung herstellen oder validieren kann. Der Fehler kann während des TLS-Handshakes auftreten, wenn der Server sein Zertifikat präsentiert, oder wenn das Zertifikat nicht mit dem aufgerufenen Hostnamen übereinstimmt.

Dieselbe Website kann für ihre Root-Domain, eine Subdomain oder ihre www-Variante unterschiedliche Ergebnisse anzeigen. Ein öffentliches CDN oder ein Reverse Proxy kann außerdem ein anderes Zertifikat präsentieren als der Origin-Server. Notieren Sie zunächst den genauen Hostnamen und die Browserfehlermeldung, anstatt jede SSL-Warnung als dasselbe Problem zu behandeln.

Häufige Symptome

Möglicherweise sehen Sie:

• Eine Warnung, dass die Verbindung nicht privat oder sicher ist
• Eine Abweichung zwischen Zertifikatsnamen und Hostnamen
• Eine Verbindung, die fehlschlägt, bevor die Seite geladen wird
• ERR_SSL_PROTOCOL_ERROR oder eine andere TLS-Protokollmeldung
• Unterschiedliche Ergebnisse für die Root-Domain, eine Subdomain oder den www-Hostnamen
• Eine Website, die über ein CDN oder einen Proxy funktioniert, beim direkten Verbindungsaufbau mit ihrem Origin jedoch fehlschlägt

Fehler nach Schicht diagnostizieren

1. Den genauen Hostnamen und Fehler notieren

Prüfen Sie den vollständigen Hostnamen in der Adressleiste einschließlich der Subdomain. Vergleichen Sie den betroffenen Hostnamen mit den www- und Nicht-www-Varianten, falls beide verwendet werden. Notieren Sie außerdem die vollständige Browserfehlermeldung, da eine Zertifikatsabweichung und eine fehlgeschlagene TLS-Aushandlung unterschiedliche Prüfungen erfordern.

Bei einer Hostnamenabweichung siehe [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid). Das bedeutet in der Regel, dass der Server ein Zertifikat präsentiert hat, das den Hostnamen in der Adressleiste nicht abdeckt.

2. Das dem Browser präsentierte Zertifikat prüfen

Öffnen Sie die Zertifikatsdetails des Browsers und prüfen Sie:

• Die Subject Alternative Names des Zertifikats, die die abgedeckten Hostnamen angeben
• Die Gültigkeitsdaten
• Den Aussteller und den Vertrauensstatus
• Die Zertifikatskette
• Ob der Server das erwartete Zertifikat statt eines Standardzertifikats des Hosting-Anbieters präsentiert

Ein Zertifikat für die Root-Domain ist nicht automatisch für jede Subdomain gültig. Der betroffene Hostname muss durch die Namen des Zertifikats oder durch einen passenden Wildcard-Namen abgedeckt sein.

Wenn das Zertifikat in einer Umgebung korrekt ist, in einer anderen jedoch nicht, untersuchen Sie DNS, SNI, das Routing des Reverse Proxys und die CDN-Konfiguration. Unterschiedliche TLS-Endpunkte können für dieselbe scheinbare Website unterschiedliche Zertifikate ausliefern.

3. Zertifikatsvalidierung von einem TLS-Handshake-Fehler unterscheiden

Eine Hostnamen- oder Vertrauenswarnung bedeutet normalerweise, dass der Browser einen Punkt erreicht hat, an dem er ein Zertifikat prüfen konnte. Ein Protokollfehler kann darauf hindeuten, dass die TLS-Aushandlung bereits früher fehlgeschlagen ist. Prüfen Sie, ob:

• Port 443 HTTPS und TLS statt einfachem HTTP bereitstellt
• Der vorgesehene HTTPS-Virtual-Host für den angeforderten Hostnamen ausgewählt wird
• Die TLS-Konfiguration des Servers aktiviert und intern gültig ist
• Zertifikat und privater Schlüssel zusammengehören
• Die vollständige Zertifikatskette an dem vom Server erwarteten Ort installiert ist
• Ein Proxy, Load Balancer, eine Firewall oder ein CDN den Handshake unterbricht

Für den protokollspezifischen Fall siehe [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error).

4. Öffentlichen und Origin-Verbindungspfad vergleichen

Ermitteln Sie, ob der Fehler nur beim öffentlichen Hostnamen, nur beim Origin-Hostnamen oder bei beiden auftritt. Ein CDN oder Reverse Proxy kann HTTPS am öffentlichen Edge terminieren und eine separate TLS-Verbindung zum Origin verwenden. Sein Zertifikat und seine TLS-Einstellungen müssen nicht mit der Konfiguration des Origin-Servers übereinstimmen.

Prüfen Sie außerdem, ob DNS den Hostnamen an den vorgesehenen Dienst weiterleitet. Eine alte Adresse, ein Staging-Server oder ein Shared-Hosting-Endpunkt kann ein Zertifikat zurückgeben, das nicht zur Website gehört, die Sie aufrufen wollten.

5. Den exakt betroffenen Hostnamen erneut testen

Testen Sie denselben Hostnamen erneut, nachdem Sie eine Zertifikatszuordnung, Hostnamen-Zuordnung oder TLS-Schicht korrigiert haben. Wenn mehrere Hostnamen betroffen sind, testen Sie sie unabhängig voneinander. So lässt sich feststellen, ob das Problem auf einen Endpunkt begrenzt ist oder auf ein umfassenderes DNS-, Proxy- oder Serverkonfigurationsproblem hindeutet.

Vermeiden Sie es, eine Browserwarnung als Methode zur Fehlerbehebung zu umgehen. Dadurch wird die Serverkonfiguration nicht korrigiert, und die Verbindung kann Risiken ausgesetzt werden. Ermitteln Sie zunächst, ob es sich um eine Hostnamenabweichung, eine nicht vertrauenswürdige oder unvollständige Zertifikatskette oder eine fehlgeschlagene TLS-Aushandlung handelt.

Wann die zugehörigen Anleitungen verwendet werden sollten

• Verwenden Sie [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error), wenn der Browser meldet, dass das SSL- oder TLS-Protokoll nicht abgeschlossen werden konnte.
• Verwenden Sie [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid), wenn das präsentierte Zertifikat nicht mit dem Hostnamen in der Adressleiste übereinstimmt.

Die genaue Browsermeldung, der Hostname, die Zertifikatsdetails, das DNS-Ziel und der Verbindungspfad sind hilfreicher als die allgemeine Bezeichnung „SSL-Fehler“. Erfassen Sie diese Details, bevor Sie Zertifikate ersetzen oder Servereinstellungen ändern.

Weitere Referenzbereiche

Für implementierungsspezifische Details konsultieren Sie die Dokumentation des betroffenen Browsers, Webservers, der Zertifizierungsstelle, des CDNs oder Reverse Proxys sowie der Hosting-Plattform. Die relevanten Abschnitte heißen normalerweise Zertifikatsinstallation, Zertifikatsketten, SNI oder Virtual Hosts, TLS-Konfiguration und HTTPS-Einstellungen für den Origin.