SSL-Certificaat incorrect?

[ThinClientQ]

Hi Tweakers,

Ik host een 20-tal Joomla websites.
Onlangs heb ik een migratie gedaan naar een nieuwe server.
Elke website was handmatig overgezet en alles was OK.
De server draait op CentOS i.c.m. PLESK
Websites zijn voorzien met SSL doormiddels van Lets Encrypt.

Onderstaand de specificaties van de server.

CPU: Intel(R) Xeon(R) CPU E5-2680 v3 @ 2.50GHz (4 core(s))
Version: Plesk Onyx v17.5.3_build1705170317.16 os_CentOS 6
OS: CentOS 6.9 (Final)

1 maal +/- per week krijg ik een klant aan de lijn die aangeeft dat een website een SSL-fout geeft.
Vaak, maar niet altijd, krijg ik deze fout niet te zien. Ik test dan in Google incognito modus.
De oplossing is elke keer het certificaat vernieuwen, terwijl deze nog niet verlopen is!

Onderstaand wat screenshots vanaf een iPhone, de domeinnaam heb ik weggehaald uit privacy.

http://i63.tinypic.com/2airmf7.png
http://i63.tinypic.com/352185t.png
http://i66.tinypic.com/1yodic.png

Zie afbeeldingen.

Kan iemand mij een duwtje in de juiste richting geven om te troubleshooten?

[Lizard]

Ik vermoed dat je certificate chain in apache/nginx niet compleet is. Je kan je domeinen ook testen via https://www.ssllabs.com/ssltest/index.html Als je daar chain incomplete ziet staan dan is je configuratie incompleet.

[DukeBox]

@Lizard Normaal doet certbot dat automatisch maar een doublecheck kan zeker geen kwaad.

[ThinClientQ]

Lizard schreef op woensdag 18 april 2018 @ 17:24:
Ik vermoed dat je certificate chain in apache/nginx niet compleet is. Je kan je domeinen ook testen via https://www.ssllabs.com/ssltest/index.html Als je daar chain incomplete ziet staan dan is je configuratie incompleet.

Allemaal A en Chain issues: None, helaas.

[418O2]

Is het elke keer dezelfde klant die het vanaf dezelfde machine krijgt?

[ThinClientQ]

418O2 schreef op woensdag 18 april 2018 @ 17:36:
Is het elke keer dezelfde klant die het vanaf dezelfde machine krijgt?

Nee! Elke keer een verschillende website/relatie.

[ Voor 12% gewijzigd door ThinClientQ op 18-04-2018 17:43 ]

[RobIII]

Waar hoort mijn topic?
WEB >> WSS

[Falcon]

Uit de screenshots haal ik niet waarom iOs het niet vertrouwd, valt er nog meer info te ontsluiten vanaf de client?

[Question Mark]

Zijn er nog specifieke zaken ingesteld op de website, certificaat of evt een reverse proxy? Denk dan aan bv. OCSP must stapling.

Is de CRL van het cert nog geldig, en kan de klant wel een nieuwe crl downloaden?

Voor de rest moet de klant (indien een windows clients) even zijn CAPI2 eventlog in de eventvwr. enablen. Alle certificaatzaken worden dan in deze log weggeschreven.

[johnkeates]

HPKP ooit aangezet?