Kontroll av SSL-certifikat

Klistra in ett serverscertifikat, ett mellanliggande, en hel kedja eller ett PKCS#7-paket, så rapporterar den här sidan vad som finns inuti och vad som verkar fel: datumen och den nuvarande livslängdsgränsen, om namnen täcker värden man skriver in, nyckelstorleken, signaturalgoritmen, tilläggen som en TLS-klient läser, och om varje certifikat verkligen är signerat av nästa. Den läser -----BEGIN CERTIFICATE------block, en base64- eller hexadecimal kropp, eller en rå DER-fil inklistrad som hex, och den körs helt i webbläsaren.
1. Certifikat eller kedja
Klistra in flera block för att kontrollera en kedja: det första blocket är certifikatet som servern presenterar, sedan mellanliggande certifikat i den ordning servern skickar dem. Lämna roten utanför — servrar skickar den inte och en klient har den redan. En enda base64- eller hexadecimal kropp, eller en PKCS#7-fil .p7b klistrad som base64, fungerar också.
2. Värdnamn (valfritt)
Med ett värdnamn här kontrollerar granskningen de alternativa ämnesnamnen på samma sätt som en webbläsare gör, inklusive jokerteckensregler, och säger om en IP-adress-post i stället skulle behövas. Utan det listas endast namnen.
3. Svarsrubriker (valfritt)
Valfri kontext för certifikatet: med ett inklistrat rubrikblock rapporterar sidan även de HTTPS-relaterade rubrikerna, i en egen sektion, så att certifikatet och konfigurationen kan ses tillsammans. HTTPS-konfigurationsgranskningen gör rubrik- och policydelen fullt ut.
ingenting kontrollerat ännu
Exemplet är ett slutcertifikat, mellanliggande certifikatet som signerade det, ett värdnamn och ett rubrikblock, så rapporten visar en kedja som verifieras, ett namn som matchar och en HSTS-rubrik som är satt.
Var man får sitt eget certifikat. I Chrome eller Edge, välj hänglåsen (eller etiketten "inte säker"), sedan Anslutningen är säker → Certifikatet är giltigt → fliken Detaljer → Exportera, vilket skriver en DER-kodad .cer; en andra export kan köras medan certifikatet är markerat för att lägga till ett mellanliggande certifikat i taget. I Firefox öppnar hänglåset Anslutningen är säker → Mer information → Visa certifikat → Ladda ned, vilket skriver en PEM-fil. På macOS visar Safari samma panel från hänglåset och certifikatet kan dras till skrivbordet. I alla webbläsare har fliken Säkerhet i utvecklarverktygen en länk Visa certifikat som öppnar samma panel. Från en server eller bärbar dator kan man också köra openssl s_client -connect example.com:443 -servername example.com -showcerts och klistra in utdata direkt här: sidan läser ut BEGIN CERTIFICATE-blocken ur en större dump. När en webbplats ligger bakom ett CDN är certifikatet man exporterar det som CDN:et presenterar, inte det på ursprungsservern.
Granskningsrapport
Inget kontrollerat ännu. Klistra in ett certifikat ovan och tryck på Kontrollera certifikatet för den fullständiga rapporten.
Vad som kontrolleras. Giltighetsdatum mot dagens datum och mot schemat för certifikatlivslängd från CA/Browser Forum (200 dagar för certifikat utfärdade från och med 15 mars 2026, 100 dagar från 2027, 47 dagar från 2029); matchning av värdnamn mot de alternativa ämnesnamnen med de jokerregler som webbläsare använder; nyckeltyp och storlek; signaturalgoritmen och om den har utfasats; grundläggande begränsningar; nyckelanvändning och utökad nyckelanvändning; om ett alternativt ämnesnamn över huvud taget finns; serienummerets längd; tidsstämplar för certifikattransparens; och varje länk i den inklistrade kedjan, där var och en verifieras med webbläsarens kryptografiska gränssnitt i stället för att litas på direkt.

Vad den inte kan göra. Den kan inte säga om certifikatet är betrott, eftersom svaret beror på en rotlagring som en webbsida inte kan läsa. Den kan inte slå upp återkallelse, eftersom OCSP- och CRL-uppslag är nätverksanrop och den här sidan gör inga. Och den kan inte se certifikatet som en körande server faktiskt skickar, om inte det certifikatet klistras in — en webbläsare som håller en anslutning kan inte bli tillfrågad om det från inuti en sida.

Integritet: allt stannar i webbläsaren. Certifikat och rubriker läses lokalt, ingen uppladdning sker och sidan fungerar utan nätverk alls. För att gå åt andra hållet och skapa ett certifikat, använd generatorn för självsignerade certifikat; för att kontrollera att en nyckel hör till ett certifikat, använd matcharen för certifikat och nyckel.