Was zeigt der SSL-Zertifikats-Inspektor?
Tipp eine Domain (oder hostname:port), klick Pruefen, das Tool oeffnet einen echten TLS-Handshake zum Server und liest die Zertifikatskette. Du kriegst die gleichen Daten wie dein Browser am Schloss-Symbol, plus paar Extras: Tage bis Ablauf, Public-Key-Staerke, Signatur-Algorithmus, SHA-1-/SHA-256-Fingerprints, SANs, AIA- und CRL-URLs.
Nuetzlich, wenn HTTPS kaputt war ("ERR_CERT_DATE_INVALID", "NET::ERR_CERT_AUTHORITY_INVALID"), wenn du gleich ein Cert erneuerst und das neue live pruefen willst, oder beim Audit eines frisch deployten Services mit dem Beweis, dass die Kette komplett ist.
Per Default Port 443, aber auch 465 (SMTPS), 993 (IMAPS), 8443 (Admin-Panels), jeder TLS-Port.
So nutzt du das Tool
- Tipp einen Hostname wie `example.com` oder `mail.google.com`. Lass https:// weg, das ist Protokoll, nicht Namensteil.
- Nicht-Standard-Port? Mit Doppelpunkt: `example.com:8443`, oder das Port-Feld fuellen.
- Klick Pruefen. Unser Server macht den TLS-Handshake, 1-3 Sekunden auf typischer Leitung.
- Lies die Kette von oben nach unten: Leaf (deine Domain) -> Intermediate (von einer Root signiert) -> Root-CA (DigiCert, Let's Encrypt etc.). Warnungen rot oben.
Wann das nuetzlich ist
Sechs Alltagsszenarien:
- HTTPS kaputt im Browser. Schloss weg oder "NET::ERR_CERT_*". Der Inspektor sagt, welcher Check fehlschlug: abgelaufen, Hostname-Mismatch, fehlendes Intermediate, schwache Signatur.
- Cert-Renewal. Frisches Let's-Encrypt-/DigiCert-Cert deployt. Pruef, dass die Kette komplett ist und Gueltigkeitsfenster jetzt anfaengt.
- Mailserver-Audit. Pruef SMTPS (465), IMAPS (993), Submission (587) - Mail-Clients sind strenger als Browser bei Ketten.
- Interne Services. admin.deinedomain.de:8443, vpn.deinedomain.de:443, api.deinedomain.de. Pruef, dass keiner kurz vor Ablauf ist.
- Vendor-/Drittanbieter-Check. Vor Integration einer Partner-API: vertrauenswuerdiger Issuer, valider SAN, kein SHA-1.
- Migration. Site auf neuen Host umgezogen. Pruef, dass der neue Server das richtige Cert serviert (nicht das alte, nicht das Default-Cert). Auch DNS im DNS-Lookup und Owner im WHOIS checken. Fuer frische CSR vor Reissue den CSR-Generator.
Fragen und Antworten
Gleiche Idee, kein Terminal. openssl s_client -connect host:443 -showcerts ist Gold-Standard, aber dichte Ausgabe und du parst selbst. Das Tool macht den gleichen TLS-Handshake von unserem Server und pretty-printet. Hostname-Checks, Ablauf, Signatur, Key-Staerke, SANs, AIA, CRL alle als lesbare Chips und Zeilen.