Je SSL-certificaat is verlopen

Bezoekers krijgen een rood scherm dat de verbinding niet privé is, met een knop die ze moeten wegklikken voordat ze verder kunnen. Voor wie je site niet kent ziet dat eruit alsof je gehackt bent, en de meesten klikken weg.

Je site draait gewoon

Dat is het goede nieuws. Er is niets mis met WordPress, je bestanden of je database. Alleen het bewijs dat het verkeer versleuteld mag worden is verlopen. Vernieuwen duurt meestal minuten.

Waarom het misging terwijl het altijd vanzelf ging

Bijna elk certificaat komt tegenwoordig van Let's Encrypt, is negentig dagen geldig en wordt automatisch vernieuwd. Dat gaat jarenlang goed, en daarom kijkt niemand ernaar. Als het misgaat is het bijna altijd een van deze vier:

Je domein wijst ergens anders heen. Vernieuwen werkt doordat de certificaatverstrekker even op je site langsgaat. Wijst de naam naar de oude server, dan lukt dat niet. Dit is de klassieker na een verhuizing.
Er staat een omleiding in de weg. Een regel die alles doorstuurt naar https of naar www stuurt ook het controleverzoek door, en dan mislukt de proef.
Het domein is verhuisd naar een andere partij, en de vernieuwing draaide nog bij de oude.
Je hebt www toegevoegd, of juist een subdomein. Een certificaat geldt voor de namen die erin staan. Een nieuwe naam staat er niet in.

Wat je nu doet

In het beheerscherm van je hosting staat bij vrijwel elke partij een knop om het certificaat opnieuw aan te vragen. Werkt die niet, dan zegt de foutmelding meestal precies wat er misgaat, en negen van de tien keer is dat de eerste in het lijstje hierboven.

Controleer of het echt verlopen is en niet iets anders. Een waarschuwing kan ook betekenen dat het certificaat voor een andere naam geldt, of dat je site behalve beveiligde ook onbeveiligde onderdelen laadt. Klik in je browser op het slotje; daar staat voor welke naam het geldt en tot wanneer.

Gemengde inhoud

Een verwant geval dat er anders uitziet: geen rood scherm maar een slotje dat niet dichtgaat. Je pagina komt over https binnen maar haalt een afbeelding of een script op over http. Vaak een oud adres dat ergens in de database is blijven staan, of een plugin die zijn eigen adres hard heeft opgeschreven. In de console van je browser staat precies welk bestand het is.

Waarom niemand het op tijd ziet

Als beheerder zit je bijna altijd al ingelogd, met een browser die de waarschuwing ooit heeft onthouden. Jij ziet je site gewoon. De enigen die het rode scherm krijgen zijn nieuwe bezoekers, en die bellen niet, die gaan weg.

Daarom houden wij bij elke site die we beheren bij hoeveel dagen het certificaat nog geldig is en of de vernieuwing werkelijk is doorgekomen. Niet of hij verlopen ís: dat is te laat.