Controle van TLS-certificaat

Hoe deze controle werkt

Scanaris opent een TLS-verbinding naar je domein zoals een browser dat zou doen en leest het certificaat dat de server terugstuurt en het onderhandelde protocol. Daar kunnen vier bevindingen uit komen. Als de site niet over HTTPS wordt geserveerd, ernst hoog. Als het certificaat al verlopen is, kritiek. Als het binnen 15 dagen verloopt, hoog; binnen 30, gemiddeld. En als de server bereid is TLS 1.0 of 1.1 te onderhandelen, gemiddeld, omdat dat afgedankte protocollen zijn die moderne browsers weigeren en die bekende aanvallen mogelijk maken. Cipher suites en de certificaatketen worden hier niet in detail beoordeeld; het doel is te zien wat je site kapotmaakt of zonder echte versleuteling achterlaat.

Waarom dit belangrijk is

Een verlopen certificaat is geen discrete waarschuwing: de browser toont een rood scherm over de hele pagina en de meeste bezoekers gaan weg. Betaalverwerkers en API-integraties falen meteen. En het is de meest voorkomende storing van allemaal, omdat een Let's Encrypt-certificaat 90 dagen geldig is, het toegestane maximum vandaag 398 is en de sector heeft afgesproken dat tegen 2029 naar 47 dagen te brengen: zonder automatische vernieuwing verloopt het vroeg of laat in een weekend. Oude protocollen zijn het andere probleem: een server die TLS 1.0 accepteert, laat een aanvaller op hetzelfde netwerk die versie afdwingen en het verkeer ontcijferen.

Hoe je het oplost

Verlopen of bijna verlopen certificaat

• Op Vercel, Netlify, Cloudflare, Railway of Render wordt het certificaat vanzelf uitgegeven en vernieuwd. Als je deze bevinding daar ziet, wijst het domein bijna altijd ergens anders heen of is de domeinverificatie mislukt: controleer de DNS-records in het dashboard.
• Op je eigen server gebruik je een ACME-client (certbot of die van je paneel) met geplande vernieuwing en controleer je dat de taak actief is: certbot renew --dry-run mag geen fouten geven.
• Stel een externe waarschuwing in. Automatische vernieuwing faalt stilletjes wanneer de DNS verandert of een token verloopt. Scanaris waarschuwt je per e-mail op 30, 14 en 3 dagen.

Verouderde protocollen

In nginx: ssl_protocols TLSv1.2 TLSv1.3;. In Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. Op een load balancer van AWS of Google kies je een modern beveiligingsbeleid. Beheerde platforms doen dit al.

Geen HTTPS

Activeer het certificaat bij je hoster (meestal een vinkje) en daarna de omleiding van HTTP naar HTTPS, die de controle HTTPS-omleiding meet.

Controleer of het opgelost is

echo | openssl s_client -connect jouwdomein.nl:443 -servername jouwdomein.nl 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect jouwdomein.nl:443 -servername jouwdomein.nl -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1

Het eerste commando toont de vervaldatum; het tweede probeert een verbinding met TLS 1.1 en moet falen. Wat elk onderdeel van het TLS-cijfer betekent, staat in wat je TLS-cijfer echt betekent.

Veelgestelde vragen

Mijn hoster vernieuwt automatisch. Waarom deze waarschuwing?

Omdat er iets in die vernieuwing is misgegaan: een gewijzigd DNS-record, een domein dat niet meer naar het platform wijst of een uitgiftelimiet. Open het dashboard van de hoster en bekijk de certificaatstatus van het domein.

Is een gratis certificaat slechter?

Nee. Het versleutelt precies zoals een betaald certificaat. Betaalde voegen organisatievalidatie of garanties toe, geen extra beveiliging in de verbinding.

Moet ik TLS 1.2 ook uitschakelen?

Nee. Goed geconfigureerd TLS 1.2 blijft veilig en is nodig voor sommige clients. Wat weg moet, is 1.0 en 1.1.