SSL & TLS

Zwei eskalierende Warnstufen: unter der konfigurierten Vorwarnzeit (Standard 14 Tage, einstellbar 1 bis 90 Tage) ein Warning, ab höchstens 3 Tagen Restlaufzeit ein Critical. Pro Website ist immer nur ein offener Ablauf-Alert aktiv; er wird automatisch aufgelöst, sobald die Restlaufzeit nach dem Renewal wieder über die Schwelle steigt — keine Duplikat-Mails bei mehrfachen Checks. Die Vorwarnzeit stellen Sie unter Einstellungen → Benachrichtigungen ein.

Die maximal zulässige TLS-Zertifikatslaufzeit sinkt gestaffelt (CA/Browser Forum SC-081): 200 Tage seit 03/2026, höchstens 100 Tage ab 03/2027, höchstens 47 Tage ab 03/2029. Der SSL-Tab zeigt die Gesamt-Laufzeit (`cert_lifetime_days`), die aktuelle Obergrenze und die nächste Stufe. Zertifikate mit über 100 Tagen Laufzeit deuten auf manuelle Ausstellung ohne ACME hin und werden als `cert_renewal_risk` markiert — mit einem Alert (standardmäßig an, abschaltbar unter Einstellungen → Benachrichtigungen), der zur automatischen Erneuerung (ACME, z. B. Let's Encrypt) rät, bevor die nächste Stufe greift.

Die Kette wird beim TLS-Handshake gegen den System-CA-Store (Mozilla-Root-Bundle) validiert (`verify_peer=true`). Fehlende Intermediates (Browser zeigen OK, mobile Geräte / E-Mail-Clients aber nicht), abgelaufene, widerrufene oder hostnamen-fremde Zertifikate führen dort zum Handshake-Fehler und werden als `is_valid=false` markiert. Dieser Fall ist der dringendste und feuert einen eigenen Critical-Alert (`ssl_invalid`) — unabhängig von der Ablauf-Vorwarnzeit, weil bei gebrochenem Handshake gar keine Restlaufzeit mehr berechnet werden kann. Beim Website-Scan werden zusätzlich Kettenlänge (`chain_length`) und Root-CA ausgelesen und im Tab sichtbar.

TLS-Version (z. B. TLS 1.3), die aktive Cipher-Suite, Schlüsseltyp (RSA / EC), Schlüssellänge (`key_bits`) bzw. ECC-Kurve (`key_curve`) werden beim Website-Scan erfasst und im SSL-Tab angezeigt. Grundlage ist der tatsächliche TLS-Handshake beim Abruf — keine theoretische Enumeration aller Ciphers. Im Daemon-Dauer-Monitoring wird nur die ausgehandelte Protokoll-Version (z. B. `TLSv1.3`) fortlaufend mitgespeichert und in der Verlaufstabelle geführt.

HTTP Strict Transport Security wird separat im Security-Tab ausgewertet (max-age, includeSubDomains, preload). Must-Staple (RFC 7633) wird direkt am Zertifikat erkannt und als Badge im SSL-Tab angezeigt.

Validation-Typ (DV / OV / EV) und SAN-Abdeckung werden als Badges angezeigt, die vollständige SAN-Liste aller abgedeckten Hostnames ist ausklappbar. Wildcard-Zertifikate werden separat markiert.

Pro SSL-Check wird ein Eintrag in der Verlaufs-Tabelle gespeichert: Prüfzeitpunkt, Aussteller, Protokoll, Gültig-bis und Status. Für Zeiträume über 30 Tage wird auf einen Eintrag pro Tag verdichtet (jeweils der letzte Check des Tages, bis zu 90 Tage). Dabei erkennt der Verlauf automatisch zwei Ereignis-Typen: einen Aussteller-Wechsel (`issuer_change`) und ein Renewal, sobald sich das Gültig-bis-Datum (`expires_at`) ändert. Ein 90-Tage-Balken färbt jeden Check nach Restlaufzeit: grün ab 30 Tagen, gelb zwischen 14 und 30 Tagen, rot darunter.