SSL-Prüfer

Richten Sie ihn auf eine beliebige Domain und lesen Sie das Zertifikat, das ihr Server vorlegt: wer es ausgestellt hat, was es abdeckt, ob Kette und Hostname validieren, das verwendete TLS-Protokoll — und einen klaren Countdown der Tage, die Ihnen noch bleiben.

Warten Sie nicht, bis der Countdown bei null steht: Überwachen Sie es kostenlos mit myeventwatch und werden Sie vor dem Ablauf benachrichtigt.

Was Ihnen eine Zertifikatsprüfung sagt

Ein TLS-Zertifikat ist ein kleines öffentliches Dokument mit überproportionalen Folgen. Es bindet einen öffentlichen Schlüssel an eine Liste von Namen, es ist von einem Aussteller signiert, dem die Browser Ihrer Besucher vertrauen müssen, und es trägt harte Start- und Enddaten. Dieser Prüfer führt einen echten TLS-Handshake gegen die Domain auf Port 443 durch — dieselbe Aushandlung, die der Browser eines Erstbesuchers durchführt — und berichtet, was zurückkommt. Der Aussteller sagt Ihnen, welche Zertifizierungsstelle hinter der Website steht — nützlich, wenn Sie Infrastruktur erben und wissen müssen, wo Verlängerungen leben. Subject und SAN-Liste zeigen genau, welche Hostnamen das Zertifikat abdeckt; ein fehlender Name — die nackte Domain ohne www oder eine vergessene Subdomain — ist eine der häufigsten Ursachen für Browser-Warnungen auf ansonsten gesunden Websites.

Das Gültigkeitsfenster ist der Teil mit einer Frist. Der Prüfer wandelt das Enddatum in einen Countdown der verbleibenden Tage um und färbt ihn: komfortabel jenseits von neunzig Tagen, bernsteinfarben innerhalb von neunzig, rot innerhalb von dreißig. Er berichtet auch, ob die Kette validiert — der Server muss nicht nur sein eigenes Zertifikat vorlegen, sondern auch die Zwischenzertifikate, die es in der richtigen Reihenfolge mit einer vertrauenswürdigen Wurzel verbinden —, ob der Hostname übereinstimmt und welche Protokollversion ausgehandelt wurde, sodass ein alternder TLS-1.0-Endpunkt auf einen Blick sichtbar ist.

Warum Zertifikate im schlimmsten Moment ablaufen

Moderne Zertifikate sind absichtlich kurzlebig. Automatisierte Aussteller gewähren üblicherweise neunzig Tage — gute Sicherheitspraxis und ein unerbittliches betriebliches Laufband: zwölf Verlängerungen pro Jahr, jede mit einer kleinen Chance, dass eine Automatisierung still versagt — eine DNS-Challenge, die nicht mehr validiert, ein Verlängerungsskript auf einem stillgelegten Server, ein Plugin, das nach einem Update aufgehört hat zu laufen. Der Fehlermodus ist brutal in seiner Einfachheit: Eines Morgens ist das Zertifikat abgelaufen, jeder Browser zeigt eine ganzseitige Warnung, und die meisten Besucher gehen, statt sich durchzuklicken. Suchmaschinen, Zahlungsanbieter und API-Clients sind noch weniger nachsichtig. Die einzige verlässliche Verteidigung ist, das Datum zu kennen und daran erinnert zu werden — deshalb bietet jedes Ergebnis auf dieser Seite kostenlose kontinuierliche Überwachung über myeventwatch: Der Prüfer zeigt Ihnen den heutigen Countdown, der Monitor sorgt dafür, dass Sie bei dreißig Tagen, bei vierzehn und bei sieben davon hören.

Ein problematisches Ergebnis lesen

Wenn der Prüfer statt eines Zertifikats einen Fehler meldet, benennt die Meldung den Fehler präzise. No TLS bedeutet, dass auf Port 443 nichts geantwortet hat — die Website ist möglicherweise nur HTTP oder hinter einer Firewall. Expired- und self-signed-Ergebnisse zeigen weiterhin Aussteller und Daten des vorgelegten Zertifikats, denn eine kaputte Website hat immer noch ein Zertifikat, das es wert ist, gelesen zu werden. Eine Hostname-Abweichung bedeutet, dass die Namensliste des Zertifikats die von Ihnen eingegebene Domain nicht enthält — prüfen Sie, ob die Website unter einem anderen Namen erreichbar sein soll oder ob das falsche Zertifikat ausgeliefert wird. Eine nicht vertrauenswürdige Kette bedeutet fast immer ein fehlendes Zwischenzertifikat auf dem Server, was manche Browser dadurch maskieren, dass sie es selbst abrufen — Ihre Stammbesucher sehen womöglich kein Problem, während es jeder neue Besucher sieht.

Sie wollen das vollständige Audit, nicht nur das Zertifikat? Der SSL-Grader prüft jede Protokollversion einzeln, testet Forward Secrecy und HSTS und benotet die gesamte Einrichtung — der Prüfer sagt Ihnen, ob das Zertifikat gültig ist, der Grader sagt Ihnen, ob die Einrichtung aktuell ist. Und für die Ausstellungshistorie statt des Live-Handshakes listet die Certificate-Transparency-Suche jedes Zertifikat, das die öffentlichen Logs für die Domain enthalten, einschließlich derer, die kein Server mehr vorlegt.

Häufig gestellte Fragen

Was zeigt der SSL-Prüfer?

Das Zertifikat, das ein Server auf Port 443 tatsächlich vorlegt: Aussteller, Subject, die Namen, die es abdeckt (SANs), seine Start- und Enddaten mit einem Countdown der verbleibenden Tage, das ausgehandelte TLS-Protokoll und ob die Kette validiert und der Hostname übereinstimmt.

Warum wird mein Zertifikat als ungültig angezeigt, wenn die Website bei mir einwandfrei lädt?

Browser zwischenspeichern und verzeihen auf Arten, die ein frischer Handshake nicht tut. Häufige Ursachen sind ein abgelaufenes Zwischenzertifikat, eine Kette, die nur gültig ist, weil ein Browser die Lücke aus seinem Cache gefüllt hat, oder ein Zertifikat, dessen Namensliste den genauen Hostnamen nicht enthält. Der Prüfer berichtet, was ein strenger, zum ersten Mal zugreifender Client sieht.

Wie viele Tage vor dem Ablauf sollte ich handeln?

Verlängern oder neu ausstellen, sobald Sie innerhalb von 30 Tagen sind; behandeln Sie alles unter 90 Tagen als geplante Arbeit. Automatisierte Zertifikate leben oft insgesamt nur 90 Tage, sodass eine gesunde Einrichtung sie kontinuierlich verlängert statt erst zur Frist. Diese Seite färbt den Countdown unter 90 Tagen bernsteinfarben und unter 30 rot.

Unterstützt dieser Prüfer andere Ports als 443?

Nein. Aus Sicherheits- und Einfachheitsgründen verbindet sich der Prüfer immer nur mit dem Standard-HTTPS-Port der von Ihnen benannten Domain — keine benutzerdefinierten Ports, Pfade oder IP-Adressen.

Kann ich benachrichtigt werden, bevor mein Zertifikat abläuft?

Ja — genau das richtet die Schaltfläche „Monitor this free“ bei einem Ergebnis ein. myeventwatch überwacht das Zertifikat kontinuierlich und benachrichtigt Sie vor dem Ablauf, statt dass Sie daran denken müssen, erneut zu prüfen.