SSL-certifikatkontrol

Indsæt et servercertifikat, et mellemcertifikat, en hel kæde eller en PKCS#7-pakke, og denne side rapporterer, hvad der er indeni, og hvad der ser forkert ud: datoerne og den aktuelle levetidsgrænse, om navnene dækker den vært, der skrives, nøglestørrelsen, signaturalgoritmen, udvidelserne en TLS-klient læser, og om hvert certifikat virkelig er signeret af det næste. Den læser -----BEGIN CERTIFICATE------blokke, en base64- eller hexadecimal-krop eller en rå DER-fil indsat som hex, og den kører helt i browseren.
1. Certifikat eller kæde
Indsæt flere blokke for at tjekke en kæde: den første blok er certifikatet, serveren præsenterer, derefter mellemcertifikaterne i den rækkefølge, serveren sender dem. Lad roden være udeladt — servere sender den ikke, og en klient har den allerede. En enkelt base64- eller hexadecimal-krop, eller en PKCS#7-fil .p7b indsat som base64, virker også.
2. Værtsnavn (valgfrit)
Med et værtsnavn her kontrollerer revisionen de alternative emnenavne, sådan som en browser gør, inklusive jokerregler, og siger, om en IP-adresseindtastning i stedet ville være nødvendig. Uden det listes navnene blot.
3. Svar-headers (valgfrit)
Valgfri kontekst for certifikatet: når en headerblok indsættes, rapporterer siden også de HTTPS-relaterede headers i deres egen sektion, så certifikatet og konfigurationen kan ses samlet. HTTPS-konfigurationsrevisionen dækker header- og politikdelen fuldt ud.
ikke kontrolleret endnu
Eksemplet er et blad-certifikat, mellemcertifikatet, der har signeret det, et værtsnavn og en headerblok, så rapporten viser en kæde, der verificeres, et navn der matcher, og en HSTS-header, der er sat.
Hvor man får sit eget certifikat. I Chrome eller Edge vælges hængelåsen (eller etiketten "ikke sikker"), derefter Forbindelsen er sikker → Certifikatet er gyldigt → fanen Detaljer → Eksportér, som skriver en DER-kodet .cer; en anden eksport kan køres, mens certifikatet er valgt, for at tilføje ét mellemcertifikat ad gangen. I Firefox åbner hængelåsen Forbindelsen er sikker → Flere oplysninger → Vis certifikat → Download, som skriver en PEM-fil. På macOS viser Safari det samme panel fra hængelåsen, og certifikatet kan trækkes til skrivebordet. I enhver browser har fanen Sikkerhed i Udviklerværktøjer et link Vis certifikat, der åbner det samme panel. Fra en server eller en bærbar kan man også køre openssl s_client -connect example.com:443 -servername example.com -showcerts og indsætte outputtet direkte her: siden læser BEGIN CERTIFICATE-blokkene ud af et større dump. Når et websted sidder bag et CDN, er certifikatet, man eksporterer, det CDN præsenterer, ikke det på origin-serveren.
Revisionsrapport
Intet tjekket endnu. Indsæt et certifikat ovenfor, og tryk på Tjek certifikatet for den fulde rapport.
Hvad der kontrolleres. Gyldighedsdatoer mod i dag og mod CA/Browser Forum-levetidsskemaet (200 dage for certifikater udstedt fra 15. marts 2026, 100 dage fra 2027, 47 dage fra 2029); værtsnavnsmatch mod de alternative emnenavne med de jokerregler, browsere bruger; nøgletype og -størrelse; signaturalgoritmen og om den er udfaset; basic constraints; key usage og extended key usage; om der overhovedet findes et alternativt emnenavn; længden af serienummeret; certificate transparency-tidsstempler; og hvert link i den indsatte kæde, hver verificeret med browserens krypto-interface i stedet for at stoles på ved første øjekast.

Hvad det ikke kan. Det kan ikke fortælle, om certifikatet er betroet, fordi svaret afhænger af en rodbutik, en webside ikke kan læse. Det kan ikke slå tilbagekaldelse op, fordi OCSP- og CRL-opslag er netværksforespørgsler, og denne side laver ingen. Og den kan ikke se det certifikat, en kørende server faktisk sender, medmindre certifikatet indsættes — en browser med en forbindelse kan ikke bedes om det inde fra en side.

Privatliv: alt bliver i browseren. Certifikater og headers læses lokalt, ingen upload finder sted, og siden virker uden netværk overhovedet. For at gå den anden vej og oprette et certifikat, brug generatoren for selvsignerede certifikater; for at kontrollere, at en nøgle hører til et certifikat, brug certifikat- og nøglematcheren.