Kontrola SSL certifikátů

Vložte certifikát serveru, mezilehlý certifikát, celý řetězec nebo svazek PKCS#7 a tato stránka uvede, co obsahuje a co vypadá špatně: data a aktuální limit životnosti, zda názvy pokrývají hostitele, který zadáte, velikost klíče, podpisový algoritmus, rozšíření, která čte klient TLS, a zda každý certifikát skutečně podepsal následující. Čte bloky -----BEGIN CERTIFICATE-----, tělo base64 nebo hexadecimální, nebo surový soubor DER vložený jako hex, a běží zcela ve vašem prohlížeči.
1. Certifikát nebo řetězec
Pro kontrolu řetězce vložte několik bloků: první blok je certifikát, který server předkládá, pak mezilehlé certifikáty v pořadí, v jakém je server posílá. Kořen vynechte — servery ho neposílají a klient ho již má. Funguje i samotné tělo base64 nebo hexadecimální, nebo soubor PKCS#7 .p7b vložený jako base64.
2. Název hostitele (volitelné)
Pokud zde zadáte název hostitele, audit zkontroluje alternativní názvy subjektu tak, jak to dělá prohlížeč, včetně pravidel zástupných znaků, a řekne, zda by místo toho byla potřeba položka s IP adresou. Bez něj se názvy jen vypíšou.
3. Hlavičky odpovědi (volitelné)
Volitelný kontext k certifikátu: po vložení bloku hlaviček stránka uvede i hlavičky související s HTTPS ve vlastní sekci, takže uvidíte certifikát a konfiguraci dohromady. Audit konfigurace HTTPS provádí část hlaviček a zásad do plné hloubky.
zatím nic nezkontrolováno
Ukázka je koncový certifikát, mezilehlý certifikát, který ho podepsal, název hostitele a blok hlaviček, takže zpráva ukáže řetězec, který se ověří, název, který odpovídá, a hlavičku HSTS, která je nastavena.
Kde získat vlastní certifikát. V Chrome nebo Edge klikněte na zámek (nebo na označení „nezabezpečeno“), pak Připojení je zabezpečené → Certifikát je platný → záložka Podrobnosti → Exportovat, což zapíše .cer v kódování DER; druhý export lze spustit, když je certifikát vybrán, a přidat tak jeden mezilehlý certifikát najednou. Ve Firefoxu zámek otevře Připojení je zabezpečené → Další informace → Zobrazit certifikát → Stáhnout, což zapíše soubor PEM. V macOS Safari zobrazí stejný panel ze zámku a certifikát lze přetáhnout na plochu. V libovolném prohlížeči odkaz Zobrazit certifikát na záložce Zabezpečení ve vývojářských nástrojích otevře stejný panel. Ze serveru nebo notebooku můžete také spustit openssl s_client -connect example.com:443 -servername example.com -showcerts a výstup vložit přímo sem: stránka vytáhne bloky BEGIN CERTIFICATE z většího výpisu. Pokud je web za CDN, certifikát, který exportujete, je ten, který předkládá CDN, a ne ten na původním serveru.
Zpráva auditu
Zatím nic nezkontrolováno. Vložte certifikát výše a stiskněte Zkontrolovat certifikát pro úplnou zprávu.
Co se kontroluje. Platnost dat vůči dnešku a vůči harmonogramu životnosti podle CA/Browser Forum (200 dnů pro certifikáty vydané od 15. března 2026, 100 dnů od roku 2027, 47 dnů od roku 2029); shoda názvu hostitele s alternativními názvy subjektu podle pravidel zástupných znaků, která používají prohlížeče; typ a velikost klíče; podpisový algoritmus a zda je vyřazený; základní omezení; použití klíče a rozšířené použití klíče; přítomnost alternativního názvu subjektu vůbec; délka sériového čísla; časová razítka Certificate Transparency; a každý odkaz ve vloženém řetězci, přičemž každý je ověřen rozhraním kryptografie prohlížeče a nikoli důvěřován na pohled.

Co nedokáže. Nedokáže vám říct, zda je certifikát důvěryhodný, protože odpověď závisí na úložišti kořenů, které webová stránka nemůže číst. Nedokáže vyhledat odvolání, protože dotazy OCSP a CRL jsou síťové požadavky a tato stránka žádné neprovádí. A nevidí certifikát, který běžící server skutečně posílá, pokud ho nevložíte — spojení v prohlížeči nelze ze stránky požádat o jeho certifikát.

Soukromí: vše zůstává v prohlížeči. Certifikáty a hlavičky se čtou lokálně, nic se nenahrává a stránka funguje i bez jakékoli sítě. Opačný směr, tedy vytvoření certifikátu, zajistí generátor self-signed certifikátů; pro ověření, zda klíč patří k certifikátu, použijte porovnávač certifikátu a klíče.