SSL-Checker
Prüfe das SSL/TLS-Zertifikat einer Website: wer es ausgestellt hat, wann es abläuft und ob Browser ihm vertrauen.
SSL-Checker wird geladen… Wenn nichts passiert, aktiviere JavaScript.
Jede HTTPS-Website legt beim TLS-Handshake ein Zertifikat vor. Dieses Zertifikat verknüpft den Hostnamen mit einem öffentlichen Schlüssel und ist von einer Zertifizierungsstelle (CA) signiert, der Browser bereits vertrauen. Wenn etwas nicht stimmt, das Zertifikat ist letzte Nacht abgelaufen, der Server schickt das Zwischenzertifikat nicht mit oder der Name im Zertifikat passt nicht zur Domain, sehen Besucher eine ganzseitige Sicherheitswarnung und die meisten gehen wieder. Dieser SSL-Checker verbindet sich wie ein Browser mit dem Server und zeigt dir genau, was er vorlegt.
Beispiele
example.com
Trusted chain · Name matches · 54 days left · EC 256 bit · TLSv1.3
Ein gesundes Zertifikat: Alle Prüfungen bestehen.
a site serving only its leaf certificate
Not trusted: the intermediate certificate(s) are missing
Funktioniert oft in Desktop-Browsern, scheitert aber auf Smartphones, mit curl und in API-Clients.
Häufig gestellte Fragen
Warum funktioniert meine Website im Browser, aber der Checker meldet eine nicht vertrauenswürdige Kette?
Was bedeutet „name mismatch“ (Name stimmt nicht überein)?
Wie viele Tage vor Ablauf sollte ich erneuern?
Kann ich einen Mailserver oder einen anderen Port prüfen?
Welche Schlüssellänge und welcher Signaturalgorithmus sind heute akzeptabel?
Prüft der Checker auf Schwachstellen wie Heartbleed oder schwache Cipher?
Wofür sind die SHA-256- und SHA-1-Fingerabdrücke?
Werden die geprüften Domains gespeichert?
Über SSL-Checker
Gib eine Domain ein (oder füge eine vollständige URL ein), und das Tool führt einen echten TLS-Handshake mit SNI auf diesen Namen durch. Es zeigt Inhaber und Aussteller des Zertifikats, den Gültigkeitszeitraum und die verbleibenden Tage, Typ und Länge des öffentlichen Schlüssels, den Signaturalgorithmus, die Seriennummer, die SHA-256- und SHA-1-Fingerabdrücke, alle Subject Alternative Names, die das Zertifikat abdeckt, und die vollständige Kette der Zwischenzertifikate, die der Server sendet. Außerdem siehst du die ausgehandelte TLS-Version und Cipher-Suite.
Das Urteil setzt sich aus unabhängigen Prüfungen zusammen. Das Vertrauen wird mit einem zweiten Handshake getestet, der die Kette gegen einen Standard-Root-Store prüft. So werden ein selbstsigniertes Zertifikat, eine private CA oder ein fehlendes Zwischenzertifikat erkannt, auch wenn dein Browser das Zwischenzertifikat im Cache hat und alles in Ordnung aussieht. Der Name wird mit denselben Wildcard-Regeln wie im Browser gegen die SAN-Liste geprüft (eine Wildcard deckt genau eine Ebene ab, *.example.com gilt also weder für example.com noch für a.b.example.com). Ablauf, noch nicht gültige Daten, kurze RSA-Schlüssel, SHA-1-Signaturen und alte TLS-Versionen werden ebenfalls markiert.
Die Prüfung läuft von unserem Server aus und zeigt damit, was das öffentliche Internet sieht, und genau das zählt nach einer Zertifikatserneuerung oder einem CDN-Wechsel. Private und interne Adressen sind gesperrt, und nur TLS-Ports sind erlaubt (443, 8443 sowie die impliziten TLS-Ports für E-Mail und LDAP 465, 993, 995 und 636). Über die geprüften Domains wird nichts gespeichert.
Von Netscapes SSL 2.0 zu 47-Tage-Zertifikaten
SSL entstand 1994 bei Netscape, um Online-Shopping möglich zu machen. Version 1.0 wurde wegen gravierender Mängel nie veröffentlicht, und SSL 2.0, 1995 mit dem Netscape Navigator ausgeliefert, war bald darauf gebrochen. SSL 3.0 (1996) war eine Neukonstruktion, und sein Nachfolger wurde 1999 in TLS 1.0 umbenannt, als die IETF das Protokoll übernahm, auch um nicht den Eindruck zu erwecken, sie segne nur Netscapes Arbeit ab. Man sagt bis heute „SSL-Zertifikat“, obwohl SSL selbst seit Jahren verboten ist.
Die Laufzeit von Zertifikaten ist stetig geschrumpft. Anfang der 2010er-Jahre konnte man ein Zertifikat mit fünf Jahren Gültigkeit kaufen. Das CA/Browser Forum senkte das Maximum 2015 auf 39 Monate und 2018 auf 825 Tage, und Apple setzte 2020 im Alleingang 398 Tage durch, indem Safari längere Zertifikate ablehnte. 2025 beschloss das Forum, das Maximum stufenweise bis 2029 auf 47 Tage zu senken, was die automatische Erneuerung praktisch zur Pflicht macht.
Let's Encrypt veränderte die Wirtschaftlichkeit von HTTPS, als es 2015 mit kostenlosen, automatisierten Zertifikaten startete, deren 90-tägige Laufzeit bewusst gewählt wurde, um Automatisierung zu erzwingen. Innerhalb weniger Jahre wurde es zur größten Zertifizierungsstelle der Welt mit Millionen ausgestellter Zertifikate pro Tag, und der Anteil der per HTTPS geladenen Seiten in Chrome stieg von unter der Hälfte auf deutlich über 90 Prozent.