„Nicht sicher“ im Browser: Zertifikat und HTTPS reparieren

Vier typische Ursachen

Zertifikat abgelaufen

Kostenlose Zertifikate, etwa von Let’s Encrypt, gelten 90 Tage und werden normalerweise automatisch verlängert. Nach einem Umzug oder geänderten DNS-Einträgen kann die Verlängerung scheitern – dann erscheint die Warnung von einem Tag auf den anderen.

Zertifikat passt nicht zur Adresse

Ist das Zertifikat nur für www.beispiel.de ausgestellt, warnt der Browser bei beispiel.de – oder umgekehrt. Beide Varianten müssen abgedeckt sein.

Gemischte Inhalte

Die Seite selbst ist verschlüsselt, lädt aber einzelne Bilder oder Skripte über http://. Dann fehlt das Schloss. Die Entwicklerkonsole des Browsers zeigt die betroffenen Dateien; in WordPress hilft ein Suchen-und-Ersetzen in der Datenbank.

Keine Weiterleitung auf HTTPS

Ruft jemand die alte http://-Adresse auf, sollte der Server dauerhaft (301) auf die verschlüsselte Fassung umleiten.

Reparieren in fünf Schritten

1. Im Kundenbereich des Hosters prüfen, ob ein Zertifikat aktiv ist und bis wann es gilt.
2. Zertifikat für alle Adressvarianten ausstellen lassen – mit und ohne www.
3. Eine 301-Weiterleitung von http auf https und auf die Hauptvariante einrichten.
4. Gemischte Inhalte beseitigen und den Cache leeren.
5. Mit SSL Labs und dem Mozilla Observatory nachmessen.

Der nächste Schritt: Sicherheits-Header

Wenn HTTPS stabil läuft, lohnt sich HSTS: Der Browser ruft die Seite dann nur noch verschlüsselt auf. Aber Vorsicht – HSTS lässt sich nicht kurzfristig zurücknehmen, deshalb erst setzen, wenn alles funktioniert. Weitere Sicherheits-Header wie die Content-Security-Policy schützen zusätzlich. Genau diese Punkte bewertet der WEBSTAR Award im Bereich Security.