SSL-Zertifikatprüfer

Fügen Sie ein Serverzertifikat, ein Zwischenzertifikat, eine ganze Kette oder ein PKCS#7-Bündel ein, und diese Seite zeigt, was darin steckt und was nicht stimmt: die Daten und die aktuelle Lebensdauergrenze, ob die Namen den eingegebenen Host abdecken, die Schlüsselgröße, den Signaturalgorithmus, die Erweiterungen, die ein TLS-Client liest, und ob jedes Zertifikat tatsächlich vom nächsten signiert wurde. Sie liest -----BEGIN CERTIFICATE------Blöcke, einen Base64- oder Hexadezimal-Körper oder eine als Hex eingefügte DER-Datei und läuft vollständig in Ihrem Browser.
1. Zertifikat oder Kette
Fügen Sie mehrere Blöcke ein, um eine Kette zu prüfen: Der erste Block ist das Zertifikat, das der Server vorlegt, danach folgen die Zwischenzertifikate in der Reihenfolge, in der der Server sie sendet. Lassen Sie das Root-Zertifikat weg — Server senden es nicht, und ein Client hat es bereits. Ein einzelner Base64- oder Hexadezimal-Körper oder eine als Base64 eingefügte PKCS#7-Datei .p7b funktionieren ebenfalls.
2. Hostname (optional)
Mit einem Hostnamen hier prüft das Audit die Subject Alternative Names so, wie es ein Browser tut, einschließlich der Wildcard-Regeln, und sagt, ob stattdessen ein IP-Adresseintrag nötig wäre. Ohne Hostnamen werden die Namen nur aufgelistet.
3. Antwort-Header (optional)
Optionaler Kontext für das Zertifikat: Wenn Sie einen Header-Block einfügen, meldet die Seite auch die HTTPS-bezogenen Header in einem eigenen Abschnitt, sodass Sie Zertifikat und Konfiguration gemeinsam sehen. Das HTTPS-Konfigurationsaudit prüft den Header- und Richtlinienteil in voller Tiefe.
noch nichts geprüft
Die Beispieldaten bestehen aus einem Blattzertifikat, dem Zwischenzertifikat, das es signiert hat, einem Hostnamen und einem Header-Block. Der Bericht zeigt daher eine Kette, die sich verifizieren lässt, einen passenden Namen und einen gesetzten HSTS-Header.
Woher Sie Ihr eigenes Zertifikat bekommen. In Chrome oder Edge klicken Sie auf das Schlosssymbol (oder die Angabe „Nicht sicher“), dann Verbindung ist sicher → Zertifikat ist gültig → den Reiter Details → Exportieren. Das schreibt eine DER-kodierte .cer-Datei; ein zweiter Export kann bei ausgewähltem Zertifikat ausgeführt werden, um jeweils ein Zwischenzertifikat hinzuzufügen. In Firefox öffnet das Schlosssymbol Verbindung sicher → Weitere Informationen → Zertifikat anzeigen → Herunterladen, was eine PEM-Datei schreibt. Unter macOS zeigt Safari dasselbe Fenster über das Schlosssymbol, und das Zertifikat lässt sich auf den Desktop ziehen. In jedem Browser hat der Reiter Sicherheit der Entwicklertools einen Link Zertifikat anzeigen, der dasselbe Fenster öffnet. Von einem Server oder Laptop aus können Sie auch openssl s_client -connect example.com:443 -servername example.com -showcerts ausführen und die Ausgabe direkt hier einfügen: Die Seite liest die BEGIN CERTIFICATE-Blöcke aus dem größeren Dump heraus. Wenn eine Website hinter einem CDN liegt, ist das exportierte Zertifikat das des CDN und nicht das des Ursprungsservers.
Prüfbericht
Noch nichts geprüft. Fügen Sie oben ein Zertifikat ein und drücken Sie Zertifikat prüfen für den vollständigen Bericht.
Was geprüft wird. Gültigkeitsdaten gegen das heutige Datum und gegen den Lebensdauer-Zeitplan des CA/Browser Forum (200 Tage für Zertifikate, die ab dem 15. März 2026 ausgestellt werden, 100 Tage ab 2027, 47 Tage ab 2029); Übereinstimmung des Hostnamens mit den Subject Alternative Names nach den Wildcard-Regeln der Browser; Schlüsseltyp und -größe; der Signaturalgorithmus und ob er ausgemustert ist; Basic Constraints; Key Usage und Extended Key Usage; das Vorhandensein eines Subject Alternative Name überhaupt; die Länge der Seriennummer; Zeitstempel der Certificate Transparency; und jeder Link in der eingefügten Kette, jeweils mit der Krypto-Schnittstelle des Browsers verifiziert statt blind vertraut.

Was es nicht kann. Es kann nicht sagen, ob das Zertifikat vertrauenswürdig ist, denn diese Antwort hängt von einem Root-Speicher ab, den eine Webseite nicht lesen kann. Es kann keine Sperrung nachschlagen, weil OCSP- und CRL-Abfragen Netzwerkanfragen sind und diese Seite keine stellt. Und es kann das Zertifikat nicht sehen, das ein laufender Server tatsächlich sendet, sofern Sie es nicht einfügen — eine bestehende Browserverbindung lässt sich von einer Seite aus nicht danach befragen.

Datenschutz: Alles bleibt im Browser. Zertifikate und Header werden lokal gelesen, es findet kein Upload statt, und die Seite funktioniert ganz ohne Netzwerk. Um umgekehrt ein Zertifikat zu erstellen, verwenden Sie den Generator für selbstsignierte Zertifikate; um zu prüfen, ob ein privater Schlüssel zu einem Zertifikat gehört, verwenden Sie den Zertifikat-und-Schlüssel-Abgleich.