SSL accept Failed

mach mal einen SSL Check, es sollte ein A sein für Android.

Quote from JackC

Die scheint wohl leider ein Bug zu haben und ich muss das Mailkonto neu anlegen wenn sich Zertifikate ändern.

Hat sich denn großartig etwas am Zertifikat geändert? CNI, etc.?

Wäre das erste Mal, dass ich davon höre, zumal auch LE-Zertifikate standardmäßig alle drei Monate ersetzt werden.

Unsere Zertifikate werden über LE bezogen, allerdings auf einem anderen Server als david. Die Zertifikate haben wir manuell in david eingebunden.

Werden die Zertifikate neu ausgestellt, wird die Zieldatei, auf die david zugreift, einfach nur ersetzt und die Dienste starten neu. Bei uns gab es noch keine Probleme.

===

EDIT:

Sehe gerade, dass es um Zertifikate für den Abruf per IMAP geht. Gibt es einen speziellen Grund, wieso die Smartphones nicht per EAS angebunden sind?

Wir nutzen aus guten Gründen fast ausschließlich Samsung Smartphones mit der Samsung Mail App.
Einzig bei privaten Smartphones von Mitarbeitern kommen auch mal Huawei oder Honor Handys vor, auf welchen dann die GMail App verwendet wird. Da ist uns allerdings noch kein Problem aufgefallen. Allerdings setzen wir auch auf lets encrypt Zertifikate und das schon bevor es diese seitens Tobit in den David Server integriert gab, seit dem ist es nur einfacher geworden, weil automatisiert.

Ich könnte mir vorstellen das Ihr ein zu hochwertiges Zertifikat für Eure Installation nutzt und sich im Grunde einzig die Gmail App im Sinne des Zertifikates korrekt verhält, während die anderen sich zwar pragmatisch verhalten, aber eigentlich keine Datensicherheit herstellen.

Was ich meine ist, das es einfache Zertifikate gibt welche rein zur Absicherung der Kommunikation dienen und sicherstellen das es keine Man in the Middle Angriffe gibt, weil das Zertifikat bestätigt das der Verwender des Zertifikates auch tatsächlich die Verfügungsgewalt über den Zielserver hat. Und dann gibt es qualifizierte Zertifikate welche zusätzlich noch die Identität des Inhabers bestätigen.
Lets Encrypt Zertifikate fallen in die erste Kategorie, Eure vermutlich in die zweite.
Ich bin mir aktuell nicht ganz sicher ob es relevant ist ob der Zertifikatsherausgeber (hier SwissSign bzw. Digicert) der selbe bleiben müssen damit ein Wechsel reibungslos funktioniert, allerdings weiß ich das schon ein einzelnes geändertes Zeichen im Namen des Zertifikatsinhabers dazu führt das der Gmail Client bei der Prüfung sagt das der Kommunikationspartner nicht mehr der gleiche ist welcher bei Anlegung des Accounts mal vom zu der Zeit gültigen Zertifikat bestätigt wurde.

Auch wenn es lästig ist, im Grunde ist das was Du erlebst mit hoher Wahrscheinlichkeit genau so gewollt.
So wie ich das sehe solltest Du also zwei (nein drei) Möglichkeiten haben das zu umgehen.
1. Du bleibst künftig bei einem einzigen Anbieter und verlängerst die Zertifikate stets statt sie auszutauschen.
2. Du wechselst auf ein einfacheres Zertifikat welches nicht auch Eure Identität bestätigt, also die gleiche Zertifikats Klasse wie sie auch Lets encrypt ausstellt.
3. Du verwendest lets encypt (wahlweise mit site care oder ohne, dafür dann mit ein wenig Handarbeit, die alten Anleitungen von früher müssten dafür nach wie vor funktionieren und sind soweit ich mich erinnere auch hier im Forum zu finden)