TLS-handshake rechtstreeks vanaf de server starten, certificaat lezen, protocol onderhandelen en resterende geldigheid controleren.
Controleer online SSL/TLS-certificaten, voer een domein in om te zien of het certificaat geldig is, het domein overeenkomt, resterende dagen, TLS-versie, coderingssuites en SAN-lijst, backend start handshake zonder CORS-problemen.
Verlopen SSL-certificaten, domein die niet overeenkomen en configuratiefouten zijn de meest voorkomende storingstypen voor HTTPS-websites. Nadat een certificaat is verlopen, tonen browsers een 'onveilig'-waarschuwing die bezoekers wegjaagt, en de Google-zoekranglijst wordt ook beïnvloed. Regelmatige controle en vroegtijdige vernieuwing zijn basisonderhoudstaken om HTTPS goed te laten werken.
SSL Labs doet diepgaande scores (inclusief uitgebreide tests van protocollen, suites, kwetsbaarheden, duurt ongeveer 2 minuten), deze tool doet snelle basiscontrole (resultaten in 1-3 seconden), dekt kerninformatie zoals certificaatgeldigheid, geldigheidsduur, TLS-versie, coderingssuites, SAN-lijst, geschikt voor snelle verificatie vóór lancering, bevestiging van vernieuwing, foutopsporing.
Mogelijke oorzaken: 1) De website blokkeert buitenlandse IP-adressen (controleserver staat in het buitenland); 2) Server heeft SNI-onderscheid maar configuratie is onvolledig; 3) Er wordt een zelfondertekend certificaat voor bedrijfsintranet gebruikt; 4) Firewall blokkeert de controlepunten. Een mislukte controle betekent niet dat het certificaat een probleem heeft, dit moet worden beoordeeld op basis van specifieke foutinformatie.
TLS 1.3 (2018, RFC 8446) is de nieuwste versie, handsnelheid verbeterd van 2-RTT in TLS 1.2 naar 1-RTT of zelfs 0-RTT, onveilige algoritmen zoals RSA-sleuteluitwisseling, RC4, SHA-1 verwijderd, Forward Secrecy standaard ingeschakeld, beveiliging en prestaties zijn aanzienlijk verbeterd. Nieuwe implementaties moeten bij voorkeur TLS 1.3 ondersteunen en TLS 1.2 behouden voor compatibiliteit met oude clients.
Het wordt aanbevolen om 30 dagen vóór verlopen te beginnen met voorbereiden voor vernieuwing, en de implementatie ten minste 7 dagen van tevoren te voltooien. De tool gebruikt kleurwaarschuwingen: >30 dagen groen (normaal), 7-30 dagen geel (moet vernieuwen), <7 dagen rood (dringend). Let's Encrypt-certificaten zijn 90 dagen geldig, automatische vernieuwing wordt aanbevolen.
Let's EncryptSAN (Subject Alternative Name) is een lijst met domeinen/IP-adressen in het certificaat die mogen worden gebruikt. Moderne browsers (Chrome 58+) vertrouwen het Common Name(CN)-veld niet meer en controleren alleen SAN. Als het bezochte domein niet in de SAN-lijst staat, melden browsers een 'domein komt niet overeen'-fout. Eén certificaat kan meerdere domeinen dekken via SAN (zoals example.com, www.example.com, api.example.com).
Certificaatvingerafdrukken (SHA-1/SHA-256) zijn hashwaarden van de certificaatinhoud, die kunnen worden gebruikt voor HPKP (verouderd), Certificate Pinning en handmatige verificatie of het geïmplementeerde certificaat overeenkomt met het verwachte certificaat, bijvoorbeeld om te bevestigen of een CDN het nieuwe certificaat correct heeft geladen, of om certificaten tussen meerdere servers te vergelijken. Opmerking: SHA-1-vingerafdrukken worden alleen gebruikt voor identificatie, niet voor beveiligingsverificatie.
SSL/TLS-certificaatcontrole is het proces waarbij een TLS-handshake wordt gestart vanaf een client, de certificaatinformatie die door de doelserver wordt geretourneerd wordt opgehaald en geanalyseerd, om te bepalen of de HTTPS-configuratie correct is. Kerncontrolepunten zijn onder andere: of het certificaat binnen de geldigheidsduur valt, het bezochte domein in de toegestane lijst van het certificaat staat (SAN-overeenkomst), de certificaatketen compleet en vertrouwd is, of de gebruikte TLS-protocolversie en coderingssuites veilig zijn.
**Waarom is certificaatcontrole zo belangrijk?** SSL-certificaten vormen de vertrouwensbasis van HTTPS. Zodra er een probleem is met een certificaat (meestal verlopen), blokkeren browsers de toegang direct en tonen ze een rode waarschuwingspagina 'Uw verbinding is niet privé', wat directe schade toebrengt aan websiteverkeer, conversiepercentages, SEO-ranglijst en merkvertrouwen. Volgens monitoring is certificaatverlopen de meest voorkomende oorzaak van HTTPS-storingen, goed voor meer dan 40% van alle HTTPS-incidenten.
**Wat is het verschil met direct toegang via een browser?** Browsertoegang kan worden beïnvloed door cache, HSTS, bedrijfsproxy's, clientcertificaten en andere factoren die afwijkingen veroorzaken; terwijl certificaatcontroletools een standaard TLS-handshake starten vanaf een onafhankelijk knooppunt en objectieve, gestandaardiseerde certificaatinformatie retourneren, geschikt voor operationele verificatiescenario's. Deze tool start TLS-handshakes direct vanaf de backendserver, **zonder browser CORS-beperkingen**, en kan elk publiek bereikbaar HTTPS-domein controleren.
**Kerninformatie die deze tool controleert**: Certificaatautorisatiestatus (geldig of niet), specifieke authorizationError-foutinformatie, TLS-protocolversie (TLS 1.2/1.3), onderhandelde coderingssuite (Cipher), ALPN-protocolonderhandelingsresultaat (h2/http/1.1), certificaatautorisatie (Subject/Issuer), geldigheidsdata (validFrom/validTo), resterende dagen (met kleurwaarschuwingen), SAN Subject Alternative Name-lijst, SHA-1/SHA-256 vingerafdrukken, responstijd en volledige JSON-details.
Resultaten worden meestal binnen 1-3 seconden geretourneerd, geschikt voor snelle verificatie vóór lancering, bevestiging van vernieuwing, foutopsporing en andere scenario's. Voor diepgaande scores (zoals SSL Labs' A+-F-classificatie, inclusief heronderhandeling, kwetsbaarheidstests, protocolondersteuning, enz.), wordt aanbevolen om SSL Labs Server Test te gebruiken.
| Protocolversie | Publicatiejaar | Huidige status | Opmerkingen |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Verouderd/onveilig | Ernstige kwetsbaarheden zoals POODLE, uitgeschakeld in alle moderne browsers |
TLS 1.0 | 1999 | ❌ Verouderd | Kwetsbaarheden zoals BEAST, CRIME, verboden sinds PCI DSS 2018 |
TLS 1.1 | 2006 | ❌ Verouderd | Officieel verouderd in RFC 8996, verwijderd uit Chrome/Firefox sinds 2020 |
TLS 1.2 | 2008 | ⚠️ Breed ondersteund (overgang) | Meest wijdverbreid geïmplementeerd, beste compatibiliteit, maar risico op sommige zwakke coderingssuites |
TLS 1.3 | 2018 (RFC 8446) | ✅ Aanbevolen | Snellere handshake (1-RTT/0-RTT), verwijdering van zwakke algoritmen, eerste keus voor moderne browsers |
| Resterende dagen | Statuskleur | Aanbevolen actie |
|---|---|---|
| >30 dagen | 🟢 Groen (normaal) | Geen actie nodig, controleer regelmatig |
| 7-30 dagen | 🟡 Geel (waarschuwing) | Start zo snel mogelijk het vernieuwingsproces, zorg voor vervanging vóór verlopen |
| <7 dagen | 🔴 Rood (dringend) | Vernieuw onmiddellijk, na verlopen blokkeren browsers de toegang |
| 0 dagen/verlopen | 🔴 Rood (verlopen) | Certificaat is ongeldig, gebruikers zien een beveiligingswaarschuwing, moet onmiddellijk worden verwerkt |
| Fouttype | Veelvoorkomende oorzaak | Oplossingsrichting |
|---|---|---|
| Certificaat verlopen (expired) | Certificaat is niet vernieuwd na de validTo-datum | Tijdig vernieuwen en nieuw certificaat implementeren |
| Domein komt niet overeen (name mismatch) | Huidige domein staat niet in de SAN-lijst van het certificaat | Vraag een nieuw certificaat aan met het doeldomein, of controleer CDN-originconfiguratie |
| Onvolledige certificaatketen (incomplete chain) | Server heeft tussenliggende certificaten niet correct geconfigureerd | Combineer tussenliggende certificaten met bladcertificaat voor implementatie |
| Zelfondertekend certificaat (self-signed) | Certificaat is ondertekend door een privé-CA, niet publiek vertrouwd | Gebruik een certificaat van een publieke CA zoals Let's Encrypt |
| Niet-vertrouwde uitgever (untrusted issuer) | CA-rootcertificaat staat niet in de vertrouwensopslag van de browser | Vervang door een certificaat van een vertrouwde CA |
