SSL-sertifikatsjekker

Lim inn et serversertifikat, et mellomledd, en hel kjede eller en PKCS#7-pakke, så rapporterer denne siden hva som ligger inni og hva som ser feil ut: datoene og den gjeldende levetidsgrensen, om navnene dekker verten som skrives inn, nøkkelstørrelsen, signaturalgoritmen, utvidelsene en TLS-klient leser, og om hvert sertifikat faktisk er signert av det neste. Den leser -----BEGIN CERTIFICATE------blokker, en base64- eller heksadesimal kropp, eller en rå DER-fil limt inn som heks, og den kjører helt i nettleseren.
1. Sertifikat eller kjede
Lim inn flere blokker for å sjekke en kjede: første blokk er sertifikatet serveren presenterer, deretter mellomleddene i rekkefølgen serveren sender dem. Utelat roten — servere sender den ikke, og en klient har den allerede. En enkelt base64- eller heksadesimal kropp, eller en PKCS#7-fil .p7b limt inn som base64, fungerer også.
2. Vertsnavn (valgfritt)
Med et vertsnavn her sjekker revisjonen de alternative emnenavnene slik en nettleser gjør, inkludert jokerregler, og sier om en IP-adresseoppføring i stedet ville vært nødvendig. Uten det listes bare navnene.
3. Svarheadere (valgfritt)
Valgfri kontekst for sertifikatet: med en headerblokk limt inn rapporterer siden også HTTPS-relaterte headere, i en egen seksjon, slik at sertifikatet og oppsettet kan ses sammen. HTTPS-konfigurasjonsrevisjonen gjør header- og policy-delen i full dybde.
ingenting kontrollert ennå
Eksempelet er et bladsertifikat, mellomleddet som signerte det, et vertsnavn og en headerblokk, så rapporten viser en kjede som verifiserer, et navn som stemmer, og en HSTS-header som er satt.
Hvor man får sitt eget sertifikat. I Chrome eller Edge velges hengelåsen (eller etiketten «ikke sikker»), deretter Tilkoblingen er sikker → Sertifikatet er gyldig → fanen Detaljer → Eksporter, som skriver en DER-kodet .cer; en andre eksport kan kjøres mens sertifikatet er valgt for å legge til ett mellomledd om gangen. I Firefox åpner hengelåsen Tilkobling sikker → Mer informasjon → Vis sertifikat → Last ned, som skriver en PEM-fil. På macOS viser Safari det samme panelet fra hengelåsen, og sertifikatet kan dras til skrivebordet. I alle nettlesere har fanen Sikkerhet i utviklerverktøyene en lenke Vis sertifikat som åpner det samme panelet. Fra en server eller en bærbar PC kan man også kjøre openssl s_client -connect example.com:443 -servername example.com -showcerts og lime utdataene rett inn her: siden leser BEGIN CERTIFICATE-blokkene ut av et større dump. Når et nettsted står bak et CDN, er sertifikatet som eksporteres det CDN-en presenterer, ikke det som ligger på opprinnelsesserveren.
Revisjonsrapport
Ingenting sjekket ennå. Lim inn et sertifikat over og trykk Sjekk sertifikatet for den fulle rapporten.
Hva sjekkes. Gyldighetsdatoer mot i dag og mot tidsplanen for levetid fra CA/Browser Forum (200 dager for sertifikater utstedt fra 15. mars 2026, 100 dager fra 2027, 47 dager fra 2029); vertsnavnsmatching mot de alternative emnenavnene med jokerreglene nettlesere bruker; nøkkeltype og -størrelse; signaturalgoritmen og om den er utfaset; basic constraints; key usage og extended key usage; om det i det hele tatt finnes et alternativt emnenavn; lengden på serienummeret; tidsstempler for certificate transparency; og hver lenke i den innlimte kjeden, hver verifisert med nettleserens kryptografigrensesnitt i stedet for å stoles på ved første blikk.

Hva den ikke kan gjøre. Den kan ikke fortelle om sertifikatet er klarert, fordi svaret avhenger av et rotlager som en nettside ikke kan lese. Den kan ikke slå opp tilbakekalling, fordi OCSP- og CRL-oppslag er nettverksforespørsler, og denne siden sender ingen. Og den kan ikke se sertifikatet en kjørende server faktisk sender, med mindre det limes inn — en nettleser som holder en forbindelse kan ikke spørres om det fra en side.

Personvern: alt blir i nettleseren. Sertifikater og headere leses lokalt, ingen opplasting skjer, og siden fungerer uten nettverk i det hele tatt. For å gå den andre veien og lage et sertifikat, bruk generatoren for selvsignerte sertifikater; for å sjekke at en nøkkel tilhører et sertifikat, bruk sertifikat- og nøkkelmatcheren.