Deze handleiding legt uit hoe u de gedetailleerde informatie van Qualys SSL Labs (https://www.ssllabs.com/ssltest/) correct kunt interpreteren. Deze informatie kan soms technisch of alarmerend lijken zonder de juiste context.

Inleiding

• Qualys SSL Labs is een veelgebruikte tool voor het analyseren van de SSL/TLS-configuratie van websites.
• De waarschuwingen in hun rapporten zijn vaak slechts technische details zonder invloed op de beveiliging of de SEO van de website.

Meerdere certificaten in SSL Labs-rapporten

Wanneer SSL Labs een website analyseert, kan het meerdere genummerde certificaten weergeven (certificaat #1, certificaat #2, enz.). Dit gebeurt om verschillende redenen:

1. Hoofdcertificaat (#1): het certificaat dat wordt weergegeven wanneer SNI (Server Name Indication) wordt gebruikt.
   • SNI is een TLS-extensie waarmee een server meerdere SSL-certificaten voor verschillende domeinen op hetzelfde IP-adres kan hosten. Wanneer een browser verbinding maakt, geeft deze het domeinnaam aan waarmee verbinding moet worden gemaakt.
2. Secundair certificaat (#2): het certificaat dat wordt weergegeven wanneer SNI niet wordt gebruikt of bij een directe verbinding via IP.

Een vermelding "Geen SNI" in certificaat #2 is geen fout. Het betekent simpelweg dat SSL Labs heeft getest wat er gebeurt wanneer een client verbinding maakt zonder SNI-informatie te verstrekken. In dat geval:

• De server levert een standaardcertificaat (vaak een generiek certificaat of een voorbeeldcertificaat).
• Deze situatie geldt uitsluitend voor zeer oude klanten die geen ondersteuning bieden voor SNI.
• Moderne browsers gebruiken allemaal SNI en ontvangen daarom certificaat #1.

Problemen met de certificaatketen

"Problemen met de keten: onjuiste volgorde, extra certificaten, bevat een rootcertificaat"

Deze waarschuwingen betekenen niet noodzakelijkerwijs dat het certificaat defect is:

• Incorrecte volgorde: de tussenliggende certificaten worden niet in de optimale volgorde weergegeven.
• Extra certs: Er zijn onnodige extra certificaten opgenomen.
• Contains anchor: Het basiscertificaat is opgenomen in de keten.

Het TLS-protocol maakt het mogelijk om het hoofdcertificaat weg te laten, omdat dit normaal gesproken al aanwezig is in de certificaatopslag van browsers. Het opnemen ervan is niet fout, maar wel overbodig.

“Alternatieve namen komen niet overeen”

Voor het back-upcertificaat (#2) is de waarschuwing "MISMATCH" normaal, omdat:

• Dit certificaat is bedoeld voor een ander domein (preview.infomaniak.website).
• Dit wordt alleen weergegeven als SNI niet wordt gebruikt.
• De browser die dit certificaat ontvangt, zal dit identificeren als niet overeenkomend met het aangevraagde domein, maar dit heeft geen invloed op normale verbindingen met SNI.

Met betrekking tot zorgen over SEO:

• Google en andere zoekmachines gebruiken moderne browsers die SNI ondersteunen.
• Ze ontvangen certificaat #1, dat geldig is voor uw domein.
• Waarschuwingen met betrekking tot certificaat #2 hebben geen invloed op de zoekmachineoptimalisatie.
• Alleen problemen met het hoofdcertificaat (#1) kunnen de SEO beïnvloeden.

Deze configuratie is perfect geschikt voor gedeelde hosting, waarbij meerdere websites dezelfde infrastructuur delen, waarbij een voorlopig certificaat als back-upoplossing dient.