De certificaatcontrole van een kanaal: details en externe tools

Dip controleert automatisch het SSL/TLS-certificaat van je websites. In het overzicht Certificaten zie je per website wie het certificaat heeft uitgegeven, welk type validatie het heeft en hoe lang het nog geldig is. Wil je meer weten over de controle van één website, of het certificaat dieper laten onderzoeken? Dan gebruik je de detailpagina van de certificaatcontrole.

Zo kom je op de detailpagina

Open de profielpagina van de website.
Ga naar het blok Certificaat.
Klik onderaan het blok op het tijdstip van de laatste controle, bijvoorbeeld 3 dagen geleden.

Wat zie je op de detailpagina?

Bovenaan staat een link terug naar het kanaal en het webadres van de website.

Over deze check

Controledatum: wanneer dip het certificaat voor het laatst heeft gecontroleerd
Duur: hoe lang de controle duurde
Gestart door: auto als de controle automatisch is uitgevoerd, of de naam van de gebruiker die de controle zelf heeft gestart

Resultaat

Bij Certificaatdatum zie je hoeveel dagen het certificaat nog geldig is, bijvoorbeeld Nog 84 dagen.

Goed om te weten: Veel certificaten zijn tegenwoordig maar kort geldig, vaak 90 dagen of minder, en worden automatisch vernieuwd. Een laag aantal dagen is dus niet altijd een probleem. Zie je het aantal dagen bij een volgende controle niet weer oplopen, dan werkt de automatische vernieuwing mogelijk niet. Neem dan contact op met de beheerder of leverancier van de website.

Ongeldig of niet goed werkend certificaat

Klopt er iets niet aan het certificaat, dan staat bij Certificaatdatum Ongeldig certificaat, Configuratiefout of een andere melding. Bezoekers krijgen in dat geval vaak een beveiligingswaarschuwing in hun browser. Veelvoorkomende oorzaken zijn:

het certificaat is verlopen
de domeinnaam van de website staat niet in het certificaat, bijvoorbeeld omdat het certificaat alleen voor www geldt
de keten van certificaten is niet volledig geïnstalleerd
het certificaat is uitgegeven door een partij die browsers niet vertrouwen, of het is door de beheerder zelf ondertekend

Dip laat zien dát er iets mis is. Wat er precies mis is, lees je in de externe tools hieronder. SSL Shopper is vaak de snelste manier om de oorzaak te vinden: een rood kruis in plaats van een groen vinkje wijst direct het probleem aan. Geef de uitkomst door aan de beheerder of leverancier van de website.

Verder kijken met externe tools

Onder het resultaat staan drie links naar externe tools. Elke tool controleert het certificaat van de website live, op het moment dat je de link opent. Ze verschillen in diepgang.

DigiCert SSL Checker

DigiCert is een bekende uitgever van certificaten. De SSL Checker laat in één overzicht zien:

naar welk IP-adres de domeinnaam verwijst
de gegevens van het certificaat: op welke naam het is uitgegeven, door wie, de sleutellengte en het ondertekeningsalgoritme
of de intrekkingsstatus gecontroleerd kan worden
wanneer het certificaat verloopt
of de naam in het certificaat overeenkomt met de domeinnaam
de keten van certificaten, van het certificaat van de website tot het basiscertificaat van de uitgever
of het certificaat correct is geïnstalleerd

Let op: Twee waarschuwingen van DigiCert zijn vaak geen probleem. De melding dat het certificaat niet door DigiCert of een van zijn merken is uitgegeven, zegt alleen iets over de uitgever, niet over de kwaliteit. De melding dat de status niet gevalideerd kan worden (TLS Certificate status cannot be validated) komt veel voor bij certificaten van Let's Encrypt, omdat die uitgever de intrekkingsstatus op een andere manier publiceert. Het belangrijkste is de conclusie onderaan: TLS Certificate is correctly installed.

SSL Shopper

SSL Shopper geeft een snelle, overzichtelijke controle met groene vinkjes. Je ziet:

naar welk IP-adres de domeinnaam verwijst
of het certificaat door alle grote browsers wordt vertrouwd, en of de tussenliggende certificaten goed zijn geïnstalleerd
over hoeveel dagen het certificaat verloopt
of de domeinnaam correct in het certificaat staat
de gegevens van het certificaat en de keten daarachter

Dit is de handigste tool als je snel wilt zien of alles in orde is. De site bevat wel advertenties.

Qualys SSL Labs

SSL Labs is de meest uitgebreide test. Die kijkt niet alleen naar het certificaat, maar ook naar hoe de server de beveiligde verbinding heeft ingericht: welke versies van TLS worden ondersteund, welke versleutelingsmethoden, of de server kwetsbaar is voor bekende aanvallen en of HSTS is ingesteld.

Het resultaat is een cijfer van A+ (best) tot F (onvoldoende). Draait een website op meerdere servers, dan test SSL Labs elke server apart en krijgt elke server een eigen cijfer. Je ziet dan zowel IPv4- als IPv6-adressen in de lijst. Bij een ongeldig certificaat geeft SSL Labs vaak het cijfer T (niet vertrouwd), met daaronder de reden.

Goed om te weten: Een volledige test duurt een paar minuten per server. SSL Labs bewaart de uitkomst een tijdje. Bovenaan zie je wanneer de test is uitgevoerd. Via Clear cache start je een nieuwe test.

Waarom zie ik verschillen tussen de tools?

Andere IP-adressen: veel websites draaien op meerdere servers. Elke tool kan bij een andere server uitkomen. Dat is normaal en zegt niets over de kwaliteit van het certificaat.
Eén dag verschil in geldigheid: de tools rekenen op een ander moment of rekenen anders af. Dat is geen probleem.
Andere conclusies: de tools kijken met een andere diepgang. DigiCert en SSL Shopper controleren vooral het certificaat zelf. SSL Labs beoordeelt ook de serverinstellingen.

Tip: Voor overheidsorganisaties is ook de test van Internet.nl relevant. Die toetst de beveiligde verbinding aan de richtlijnen van het NCSC. Lees meer in Van dip naar internet.nl: het volledige rapport.