SSL-Zertifikat prüfen
Lies das Zertifikat, das eine Seite tatsächlich ausliefert — auch die kaputten, die dein Browser nicht anzeigt.
Warum es dafür überhaupt ein Werkzeug braucht
Ihr Browser prüft Zertifikate ohnehin, und er kann das besser als jede Webseite. Was er nicht tut, ist, Ihnen ein kaputtes zu zeigen. Scheitert die Prüfung, bekommen Sie eine Zwischenseite und einen vagen Grund; das Zertifikat selbst liegt zwei Klicks tiefer, sofern es überhaupt erreichbar ist. Und die Fehler, die zu diagnostizieren lohnt, sind meist die, bei denen Ihr Browser vollkommen zufrieden ist und der von jemand anderem nicht.
Deshalb läuft die Prüfung oben auf einem Server, bewusst ohne dem zu trauen, was sie findet, und meldet, was der Host tatsächlich vorgelegt hat. Abgelaufen, selbstsigniert, auf einen anderen Namen ausgestellt — alles kommt als Daten zurück und nicht als Wand.
Die vier Fehlschläge, in der Reihenfolge, in der sie Ihnen begegnen
Abgelaufen
Der häufigste und der vermeidbarste. Jeder Browser zeigt eine ganzseitige Warnung, und für jeden, der nicht durchklicken will, ist die Seite faktisch offline. Es passiert, weil jemand vor dreihundertachtundneunzig Tagen einmal von Hand verlängert hat und dann die Firma verließ.
Hostname stimmt nicht
Das Zertifikat ist echt und aktuell, deckt aber den verwendeten Namen nicht ab. Fast immer ist es die Platzhalterregel: *.example.com deckt example.com nicht ab. Beide Namen müssen auf dem Zertifikat stehen, und dieser Prüfer listet jeden gefundenen Namen auf, damit auf einen Blick klar ist, welcher fehlt.
Unvollständige Kette
Die mit den seltsamsten Fehlermeldungen. Der Server sendet sein eigenes Zertifikat, lässt aber das Zwischenzertifikat weg, das es mit einer vertrauenswürdigen Wurzel verbindet. Desktop-Browser holen das fehlende Stück meist selbst und sagen nichts. Mobile Browser, Java-Clients, ältere Android-Versionen, curl und die meisten API-Konsumenten tun das nicht und scheitern schlicht.
Das Ergebnis ist eine Seite, die auf dem Laptop der Entwicklerin einwandfrei läuft und bei allen anderen sporadisch — weshalb der Kettenabschnitt oben genau das auflistet, was der Server gesendet hat, und nicht das, was sich rekonstruieren ließe.
Selbstsigniert
Von sich selbst ausgestellt, also vertraut ihm standardmäßig kein Client. Für einen internen Dienst, bei dem Sie das Zertifikat selbst verteilen, völlig vernünftig, und im offenen Web nie brauchbar.
Was das Schloss bedeutet und was nicht
Ein gültiges Zertifikat belegt zweierlei: dass Sie mit demjenigen sprechen, der diesen Domainnamen kontrolliert, und dass der Verkehr zwischen Ihnen unterwegs weder gelesen noch verändert werden kann. Das ist wirklich wertvoll, und das ist die gesamte Zusicherung.
Nicht belegt wird, dass der Betreiber ehrlich ist. Zertifikate sind kostenlos und in Sekunden ausgestellt, Phishing-Seiten haben also selbstverständlich gültige. Das Schloss bedeutete nie „diese Seite ist sicher“, weshalb Browser es in den letzten Jahren still als positives Merkmal entfernt haben und heute nur noch das Fehlen von Verschlüsselung kennzeichnen.
Alles auf Ihrem Zertifikat ist öffentlich
Das sollte man wissen, bevor man Hostnamen hinzufügt. Seit 2018 muss jedes öffentlich vertrauenswürdige Zertifikat bei Certificate Transparency eingereicht werden — öffentliche, nur anfügbare Protokolle, die Browser prüfen und deren Fehlen zur Ablehnung führt.
Der Sicherheitsgewinn ist real: Eine Zertifizierungsstelle kann für Ihre Domain nicht heimlich jemand anderem ein Zertifikat ausstellen, ohne dass es in einem Protokoll auftaucht, das Sie beobachten können. Der Nebeneffekt ist, dass jeder Name auf jedem Zertifikat durchsuchbar ist. staging-admin.example.com auf ein öffentliches Zertifikat zu setzen veröffentlicht die Existenz dieses Hosts für jeden, der hinsehen mag — und es wird hingesehen: Protokollüberwachung ist ein üblicher Aufklärungsschritt.
Erneuerung hört gleich auf, freiwillig zu sein
Die maximale Laufzeit öffentlicher Zertifikate sinkt seit Jahren: fünf Jahre, dann drei, dann zwei, und seit 2020 398 Tage. Das CA/Browser Forum hat nun einen Fahrplan beschlossen, der sie 2026 auf 200 Tage bringt, 2027 auf 100 und bis 2029 auf 47.
Bei 47 Tagen heißt Erneuern von Hand: achtmal im Jahr auf jedem Host, und der Fehlerfall ist Ihre Seite, die offline geht. Automatisierung über ACME — Let's Encrypt oder was auch immer Ihr Hoster anbietet — hört auf, gute Praxis zu sein, und wird zur einzig gangbaren Option. Wenn Sie hier ein Zertifikat prüfen, weil Sie eine Ablaufmail bekommen haben, ist das die eigentliche Sache, die zu beheben ist.
Was dies nicht prüft
Bewusst eng gefasst. Es liest das Zertifikat und die ausgehandelte Verbindung und hört dort auf. Es lädt die Seite nicht, benotet keine Cipher Suites, testet keine Protokollschwachstellen und vergibt keine Punktzahl für Ihre Konfiguration. Für ein vollständiges Audit der Serverkonfiguration ist Qualys SSL Labs das etablierte Werkzeug und geht gründlich vor.
Für die angrenzenden Fragen: der DNS-Leak-Test zeigt, welcher Resolver für Sie antwortet, und die IP-Abfrage, wem eine bestimmte Adresse gehört.
Häufige Fragen zu Zertifikaten
Die Seite funktioniert in meinem Browser, hier heißt es aber, das Zertifikat sei nicht vertrauenswürdig. Wer hat recht?
Beide, und die übliche Erklärung ist eine unvollständige Kette. Ein Server soll sein eigenes Zertifikat senden sowie die Zwischenzertifikate, die es mit einer vertrauenswürdigen Wurzel verbinden. Sendet er nur sein eigenes, überspielen Desktop-Browser die Lücke häufig, indem sie das fehlende Zwischenzertifikat selbst nachladen — dieses Verhalten heißt AIA Fetching. Viele mobile Browser, API-Clients, Java-Anwendungen und Kommandozeilenwerkzeuge tun das nicht. Die Seite funktioniert also für Sie und scheitert bei einem Teil Ihrer Nutzer — genau der Fehler, der als „geht nur bei manchen kaputt“ gemeldet wird. Dieser Prüfer zeigt, was der Server tatsächlich gesendet hat.
Warum gilt mein Zertifikat für www.example.com, aber nicht für example.com?
Weil ein Platzhalter genau eine Ebene abdeckt, und zwar nur die ganz linke. *.example.com passt auf www.example.com und api.example.com, aber weder auf example.com selbst noch auf a.b.example.com. Die nackte Domain muss gesondert in den alternativen Antragstellernamen stehen. Das ist einer der häufigsten Zertifikatsfehler, und er erzeugt eine Seite, die mit www-Präfix läuft und ohne scheitert.
Wie lange sollte ein Zertifikat gelten?
Öffentliche Zertifikate sind heute auf 398 Tage begrenzt, und die Branche geht entschieden zu kürzeren Laufzeiten über: Das CA/Browser Forum hat einen Fahrplan beschlossen, der das Maximum bis 2029 auf 47 Tage senkt. Praktisch heißt das, dass manuelle Verlängerung aufhört, tragfähig zu sein. Wenn Ihres nicht automatisch über ACME oder Ihren Hoster erneuert wird, sollten Sie das beheben, bevor die Frist es für Sie tut.
Was ist der Unterschied zwischen SSL und TLS?
TLS ist das Protokoll; SSL ist sein Vorgänger, dessen letzte Fassung 2015 für überholt erklärt wurde. Alles, was heute läuft, ist TLS. Das Wort „SSL“ überlebt in Produktnamen, Zertifikatsbezeichnungen und Berufstiteln rein aus Gewohnheit — deshalb heißt diese Seite SSL-Prüfer, während jeder Wert, den sie meldet, TLS betrifft. Bietet ein Server tatsächlich SSL 3.0 an, ist das für sich genommen bereits ein Befund.
Bedeutet ein gültiges Zertifikat, dass die Seite sicher ist?
Nein, und beides zu vermengen ist das häufigste Missverständnis über Zertifikate. Ein Zertifikat belegt, dass Sie mit demjenigen sprechen, der diesen Domainnamen kontrolliert, und dass niemand dazwischen mitlesen oder verändern kann. Über dessen Ehrlichkeit sagt es nichts. Phishing-Seiten haben routinemäßig gültige Zertifikate — sie sind kostenlos und in Sekunden ausgestellt. Das Schloss heißt verschlüsselt, nicht vertrauenswürdig.
Kann ich alle für meine Domain ausgestellten Zertifikate sehen?
Ja, und es lohnt sich. Jedes öffentlich vertrauenswürdige Zertifikat muss in Certificate Transparency protokolliert werden, eine Reihe öffentlicher, nur anfügbarer Protokolle, die Browser prüfen. Suchen Sie Ihre Domain auf crt.sh, und Sie sehen jedes je dafür ausgestellte Zertifikat — so entdeckt man eines, das man nicht bestellt hat. Es bedeutet zugleich, dass die alternativen Antragstellernamen Ihrer Zertifikate öffentlich sind: Ein interner Hostname auf einem öffentlichen Zertifikat ist damit veröffentlicht.
A certificate protects the connection between a visitor and one site. It does nothing about what the networks in between can see about which sites you visit at all — that metadata is visible even when every connection is encrypted. What your network can still see
Zuletzt geprüft . Etwas veraltet gefunden? Sagen Sie uns Bescheid.