Beim TLS-Handshake handeln Client und Server Version und Verschlüsselung aus, der Server legt sein Zertifikat vor, und der Client prüft, ob es gültig ist, zum Hostnamen passt und von einer vertrauenswürdigen CA stammt. Danach läuft der Datenverkehr verschlüsselt.
Aktuell sind TLS 1.2 und 1.3. SSLv3, TLS 1.0 und 1.1 gelten als unsicher und sind in modernen Clients abgeschaltet. Die Bezeichnung SSL hält sich trotzdem, etwa in ssl_certificate bei nginx.
Die meisten TLS-Fehler im Alltag sind Zertifikatsfehler: abgelaufen, falscher Hostname, fehlendes Zwischenzertifikat. Seltener sind Versionskonflikte mit alten Clients oder Geräten, die nur veraltete Protokolle beherrschen.
Beispiel
openssl s_client -connect example.com:443 -servername example.com -brief