SSL-Zertifikatsüberwachung

Die SSL-Zertifikatsüberwachung prüft das TLS-Zertifikat deiner Website auf Ablauf, Kettenvalidität und Domain-Übereinstimmung. Du wirst rechtzeitig gewarnt, bevor dein Zertifikat abläuft -- damit dir die gefürchtete Browser-Sicherheitswarnung erspart bleibt, die Besucher abschreckt.

Hinter einer WAF oder Cloudflare?

Wenn die SSL-Prüfung „Zertifikat konnte nicht geprüft werden (keine Verbindung)" meldet, deine Seite im Browser aber einwandfrei funktioniert, blockiert vermutlich deine Firewall oder WAF die Anfrage von Hoppla. Siehe Firewall & WAF-Freigabe zur Behebung.

Funktionsweise

Hoppla verbindet sich per TLS mit deinem Server, holt die vollständige Zertifikatskette ab und prüft sie anhand mehrerer Kriterien:

• Ablauf -- Ist das Zertifikat noch gültig? Wie viele Tage bis zum Ablauf?
• Kettenvalidität -- Ist die Zertifikatskette vollständig und vertrauenswürdig?
• Domain-Übereinstimmung -- Enthält die Subject-Alternative-Name-Liste (SAN) des Zertifikats die Domain deines Monitors?
• Protokollversion -- Welche TLS-Protokollversion hat der Server ausgehandelt?

Jede Prüfung erzeugt einen eigenen Status (bestanden/Warnung/fehlgeschlagen). Der Gesamtstatus ergibt sich aus dem schlechtesten Einzelergebnis.

Erkennung von Zertifikatserneuerungen

Hoppla verfolgt den Aussteller und das Ablaufdatum deines Zertifikats über alle Prüfläufe hinweg. Ändert sich einer dieser Werte -- was auf eine Erneuerung hindeutet -- schickt Hoppla eine certificate.renewed-Benachrichtigung, damit du bestätigen kannst, dass die Erneuerung beabsichtigt war.

Konfiguration

Einstellung	Standard	Beschreibung
Port	443	Der TLS-Port für die Verbindung. Standard ist 443; gängige TLS-Ports sind 443, 993, 995, 465 und 8443, aber jeder Port von 1 bis 65535 ist zulässig. Einige sensible Nicht-TLS-Ports (etwa SSH, SMTP und Datenbank-Ports) sind gesperrt.
Timeout	10s	Maximale Wartezeit für die TLS-Verbindung in Sekunden (1-60).
Warnschwelle	30 Tage	Anzahl der Tage vor Ablauf, ab der der Check den Status warning bekommt. Einstellbar von 1 bis 365 Tagen (Standard 30).
Prüfintervall	3 Stunden	Wie oft das Zertifikat erneut geprüft wird.

Ergebnisse

Jedes SSL-Check-Ergebnis enthält:

• Status -- ok, warning oder fail
• Zertifikatsaussteller -- Die Zertifizierungsstelle, die das Zertifikat ausgestellt hat (z. B. "Let's Encrypt", "DigiCert")
• Gültig von / Gültig bis -- Der Gültigkeitszeitraum des Zertifikats
• Verbleibende Tage -- Anzahl der Tage bis zum Ablauf
• Kettenstatus -- Ob die Zertifikatskette vollständig und vertrauenswürdig ist
• Protokollversion -- Die ausgehandelte TLS-Version (z. B. TLSv1.3)
• Domain-Übereinstimmung -- Ob das Zertifikat die Domain deines Monitors abdeckt
• Einzelprüfungen -- Detaillierter Status (bestanden/Warnung/fehlgeschlagen) für jeden Aspekt

Alarme

Vorfallerstellung

Ein Vorfall mit dem Titel "SSL certificate invalid" und dem Schweregrad major wird erstellt, wenn eine der Zertifikatsprüfungen fehlschlägt -- zum Beispiel wenn das Zertifikat abgelaufen ist, die Kette unterbrochen ist oder die Domain nicht übereinstimmt.

Warnbenachrichtigung

Eine warning.ssl_expiring-Benachrichtigung wird gesendet, wenn die verbleibenden Tage deines Zertifikats die konfigurierte Warnschwelle unterschreiten. So bekommst du rechtzeitig Bescheid und kannst das Zertifikat vor Ablauf erneuern.

Benachrichtigung bei Zertifikatserneuerung

Eine certificate.renewed-Benachrichtigung wird gesendet, wenn Hoppla erkennt, dass sich der Aussteller oder das Ablaufdatum geändert hat. Das ist rein informativ und hilft dir zu bestätigen, dass automatische Erneuerungen (z. B. Let's Encrypt) korrekt funktionieren.

Automatische Lösung

Wird ein Zertifikatsproblem behoben (z. B. das Zertifikat erneuert oder die Kette repariert), löst Hoppla den Vorfall automatisch mit der Meldung: "SSL certificate is now valid."

Benachrichtigungsereignisse

Ereignis	Zeitpunkt
incident.created	Zertifikat ist ungültig, abgelaufen oder Kette ist unterbrochen
incident.resolved	Zertifikat ist wieder gültig
warning.ssl_expiring	Zertifikat läuft innerhalb der Warnschwelle ab
warning.cleared	Zertifikat wurde vor Ablauf erneuert
certificate.renewed	Aussteller oder Ablaufdatum des Zertifikats hat sich geändert