TLS-Bewertung: wofür es ein bis fünf Schlösser gibt

Eine TLS-Prüfung bewertet die Konfiguration eines Servers mit einem bis fünf Schlössern. Die Bewertung ist eine Zusammenfassung auf einen Blick; die Feststellungen darunter sagen, was zu ändern ist. Diese Seite legt genau fest, wofür es welche Stufe gibt, damit sich eine Bewertung, der Sie nicht zustimmen, auf die Feststellung zurückführen lässt, die sie bestimmt hat.

Die fünf Stufen

Bewertung	Bedeutung	Vergeben, wenn
	Defekt	Eine Verfügbarkeitsprüfung schlägt fehl: `ct_non_compliant`, `expired`, `handshake_refused`, `hostname_mismatch`, `legacy_kex_only`, `legacy_protocol`, `not_yet_valid`, `pin_mismatch`, `revoked`, `untrusted`. Die Ablaufwarnungen und ein nicht erreichbarer Server zählen nicht.
	Funktioniert, akzeptiert aber gebrochene Verfahren	Keiner der obigen Fälle, aber der Server akzeptiert eines davon: `accepts_3des`, `accepts_anon`, `accepts_export`, `accepts_null`, `accepts_rc4`, `accepts_ssl3`, `accepts_tls10`, `accepts_tls11`, `insecure_renegotiation`, `tls_compression`, `weak_chain_key`, `weak_dh`, `weak_key`, `weak_signature`. Schlüssellängen, Signaturen und DH-Gruppen zählen hier nach den Schwellenwerten von Mozilla, unabhängig davon, welche Richtlinien Sie gewählt haben.
	Solide, erfüllt aber eine gewählte Richtlinie nicht	Keiner der obigen Fälle, aber mindestens eine gewählte Richtlinie ist nicht erfüllt.
	Erfüllt jede gewählte Richtlinie	Jede gewählte Richtlinie ist erfüllt.
	Erfüllt jede gewählte Richtlinie und ist gehärtet	Zusätzlich keine dieser Feststellungen: `no_tls13`, `no_caa`, `no_fallback_scsv`, `no_hsts`, `short_hsts`, `hsts_no_subdomains`, `no_https_redirect`, `redirect_not_permanent`, `insecure_cookie`. Das heißt: Der Server handelt TLS 1.3 aus, der Name hat CAA-Einträge, der Server lehnt einen herabgestuften Handshake ab, wenn er ältere Versionen anbietet, auf die herabgestuft werden könnte, und bei aktiven HTTP-Prüfungen sendet er HSTS für mindestens ein Jahr mit includeSubDomains, leitet Port 80 dauerhaft auf HTTPS weiter und setzt nur Secure-Cookies.

Wie die Bewertung zu lesen ist

Sie bewertet die Konfiguration, nicht die Restlaufzeit. Ein Zertifikat, das in fünf Tagen abläuft, behält seine Schlösser. Für den Ablauf ist der Status der Prüfung da; würde beides vermischt, fiele die Bewertung mit jedem Erneuerungszyklus, und sie sagte nichts mehr aus.
Bei mehreren Richtlinien zählt die niedrigste. Vier Schlösser bedeuten, dass jede gewählte Richtlinie erfüllt ist; keine muss als die wichtigste markiert werden. Jedes Ergebnis enthält außerdem die Bewertung für jede unterstützte Richtlinie, gewählt oder nicht, damit Sie sehen, was eine weitere ändern würde.
Der Schweregrad ändert sie nicht. Ob eine Feststellung warnt, fehlschlägt oder nur erfasst wird, wählen Sie an der Prüfung; die Bewertung beschreibt den Server. Zwei Prüfungen desselben Servers mit denselben Richtlinien zeigen dieselbe Bewertung.
Unvollständige Daten begrenzen sie. Konnte der tägliche Test nicht alles feststellen, was die Regeln einer gewählten Richtlinie lesen, gilt diese als nicht erfüllt und die Bewertung endet bei drei Schlössern; was er sonst nicht feststellen konnte, verhindert das fünfte. Vier Schlösser sagen, dass jede gewählte Richtlinie erfüllt ist, und das lässt eine Regel, die nicht angewendet werden konnte, nicht zu. Das Ergebnis nennt posture_incomplete unter dem, was die Bewertung begrenzt.
Was eine bessere Bewertung verhindert, wird genannt. Bei weniger als fünf Schlössern nennt das Ergebnis die Feststellungen, die die nächsthöhere Stufe verhindert haben, und die Ergebnisansicht hebt sie hervor.
Manches kostet nie ein Schloss. Encrypted Client Hello und HSTS-Preloading hängen ebenso von einem CDN oder der Liste eines Browserherstellers ab wie von Ihnen. OCSP-Stapling kostet nur dann ein Schloss, wenn eine gewählte Richtlinie es verlangt und die CA des Zertifikats überhaupt OCSP anbietet. Die veralteten Pinning-Header werden nur erfasst.
Was nicht zutrifft, kostet nichts. Ein Server mit nur einer TLS-Version hat nichts, worauf herabgestuft werden könnte; das Herabstufungssignal wird von ihm nicht verlangt. Ein geschlossener Port 80 hat nichts weiterzuleiten, und die HTTP-Bedingungen gelten nur bei aktiven HTTP-Prüfungen; auf Port 443 sind sie standardmäßig aktiv.
Je Standort. Jeder Standort bewertet, was er gesehen hat. Die Seite der Prüfung zeigt die niedrigste Bewertung aller Standorte und die Bewertung jedes einzelnen.

Wann es keine Bewertung gibt

Eine Bewertung setzt eine Konfigurationsuntersuchung voraus, die höchstens einmal am Tag je Server und Standort läuft. Bis zur ersten, solange eine Untersuchung verschoben ist, weil das Tageskontingent des Servers aufgebraucht ist, und für einen Server, dessen Betreiber uns gebeten hat, ihn nicht zu untersuchen, hat ein Ergebnis keine Bewertung. Ablauf, Vertrauen und die übrigen Verfügbarkeitsprüfungen laufen trotzdem bei jedem Lauf.

Versionen

Dies sind die Regeln der Bewertungsversion 3. Jedes Ergebnis hält die Version fest, die es bewertet hat; eine spätere Version, die eine Regel verschärft, erscheint deshalb nie als Einbruch im Verlauf eines Servers, sondern gilt ab ihrem Datum. Eine neue Ausgabe einer Richtlinie ist keine neue Bewertungsversion: Das Ergebnis hält die Ausgabe getrennt fest.

Version	Datum	Änderung
1	2026-10-17	Erste Version, ohne die HTTP-Bedingungen des fünften Schlosses.
2	2026-10-18	Bei aktiven HTTP-Prüfungen verlangt das fünfte Schloss HSTS für mindestens ein Jahr mit includeSubDomains, eine dauerhafte Weiterleitung von Port 80 und nur Secure-Cookies.
3	2026-10-18	Ein Konfigurationstest, der nicht alles feststellen konnte, begrenzt die Bewertung: auf drei Schlösser, wenn eine gewählte Richtlinie betroffen ist, sonst auf vier. Ein Zwischenzertifikat mit einem RSA-Schlüssel unter 2048 Bit oder einem EC-Schlüssel unter 256 Bit zählt nun als gebrochenes Verfahren.