SSL-Zertifikat auslesen: Zertifikatsdatei prüfen

Fügen Sie das Zertifikat im PEM-Format ein: eine Textdatei mit der Endung .crt, .pem oder .cer, deren Inhalt mit -----BEGIN CERTIFICATE----- beginnt und mit -----END CERTIFICATE----- endet. Sie bekommen sie von Ihrer Zertifizierungsstelle per E-Mail oder im Kundenkonto. Wo sie auf dem Server liegt, steht in der Konfiguration des Webservers, bei Apache unter SSLCertificateFile, bei nginx unter ssl_certificate.

• Nicht einfügen: den privaten Schlüssel (-----BEGIN PRIVATE KEY-----, bleibt immer auf Ihrem Server) und den CSR (-----BEGIN CERTIFICATE REQUEST-----, den prüfen Sie mit dem CSR-Check).
• Mehrere Zertifikate in einer Datei (zum Beispiel „fullchain“): Fügen Sie nur das erste ein, das ist das Serverzertifikat.
• Binäre Formate wandeln Sie mit OpenSSL in PEM um: .der mit openssl x509 -inform der -in datei.der, .pfx mit openssl pkcs12 -in datei.pfx -clcerts -nokeys (nur das Serverzertifikat, ohne privaten Schlüssel), .p7b mit openssl pkcs7 -print_certs -in datei.p7b (danach nur das Zertifikat mit Ihrer Domain einfügen). Unter Windows ohne OpenSSL: eine .der- oder .cer-Datei doppelklicken und im Zertifikatsfenster über „Details“ und „In Datei kopieren“ als „Base-64-codiert X.509“ speichern.

Das Auslesen mit ssl.de zeigt alle Angaben, die im Zertifikat stehen, und prüft sie nach den Regeln der Browser, soweit das ohne Server möglich ist:

• Domains: alle Domains, für die das Zertifikat gilt, eingetragen als Common Name (CN) und als SAN.
• Gültigkeit: gültig ab, gültig bis, Laufzeit und die verbleibenden Tage.
• Inhaber und Zertifizierungsstelle: Organisation, Ort und Land des Inhabers, Aussteller und ausstellendes Zertifikat.
• Technik: Schlüsselverfahren und -länge, Signaturverfahren, Seriennummer, Zertifikatsversion.

Jedes Problem steht als Hinweis mit dem nächsten Schritt über dem Ergebnis.

„Ungültig“ heißt: Schon an der Datei ist zu erkennen, dass ein aktueller Browser das Zertifikat ablehnen würde. Gründe sind:

• abgelaufen oder noch nicht gültig,
• selbstsigniert, also von keiner Zertifizierungsstelle ausgestellt,
• kein Domainname im heute üblichen Feld (SAN), nur im alten Feld „Common Name“,
• zu kurzer Schlüssel (RSA unter 2048 Bit),
• veraltete Signatur (MD5 oder SHA-1),
• kein Zertifikat für eine Website, zum Beispiel ein Zwischenzertifikat der Zertifizierungsstelle.

„Gültig“ heißt: An der Datei selbst ist nichts auszusetzen. Ob die ausstellende Zertifizierungsstelle öffentlich anerkannt ist, ob das Zertifikat zur Domain Ihrer Website passt und ob der Server es mit dem Zwischenzertifikat ausliefert, lässt sich aus der Datei allein in der Regel nicht sehen. Das prüft der SSL-Check der Domain von ssl.de.

„Nicht prüfbar“ heißt: Ohne die Zwischenzertifikate der Zertifizierungsstelle lässt sich die Kette bis zum Wurzelzertifikat nicht nachvollziehen, und beim Auslesen fügen Sie nur das Serverzertifikat ein. Deshalb steht bei der Vertrauenskette „nicht prüfbar (nur Serverzertifikat eingefügt)“. Das ist kein Mangel des Zertifikats.

Browser bekommen die Zwischenzertifikate vom Server. Ob Ihr Server sie mitsendet, zeigt der SSL-Check der Domain von ssl.de: Er liest Zertifikat und Kette direkt vom Server und prüft sie bis zur Zertifizierungsstelle.

Der private Schlüssel bleibt geheim auf Ihrem Server, der CSR ist die Bestellanfrage an die Zertifizierungsstelle, und das Zertifikat ist deren Antwort, die Sie installieren. Auslesen lässt sich mit „SSL-Zertifikat auslesen“ nur das Zertifikat.

• Privater Schlüssel (.key, -----BEGIN PRIVATE KEY-----): erzeugen Sie auf Ihrem Server, er bleibt dort und wird nie weitergegeben.
• CSR (Certificate Signing Request, -----BEGIN CERTIFICATE REQUEST-----): enthält Ihren öffentlichen Schlüssel und die Domainnamen. Prüfen mit dem CSR-Check.
• Zertifikat (.crt, -----BEGIN CERTIFICATE-----): stellt die Zertifizierungsstelle aus, es gehört zusammen mit den Zwischenzertifikaten auf den Server.

Das Zertifikat passt, wenn der Name Ihrer Website genau unter den eingetragenen Domainnamen steht, die das Auslesen anzeigt. example.de und www.example.de sind zwei verschiedene Namen. Erreichen Besucher die Website unter beiden, müssen beide im Zertifikat stehen. Ein Wildcard-Name wie *.example.de deckt alle Subdomains einer Ebene ab, nicht aber example.de selbst.

Ob das installierte Zertifikat tatsächlich für Ihre Website ausgeliefert wird, prüft der SSL-Check der Domain.

Sie brauchen ein neues Zertifikat. Ein abgelaufenes Zertifikat lässt sich nicht verlängern, die Zertifizierungsstelle stellt ein neues aus.

1. Erzeugen Sie einen CSR (die Bestelldatei für ein Zertifikat), mit dem vorhandenen oder einem neuen privaten Schlüssel.
2. Bestellen Sie das Zertifikat und reichen Sie den CSR ein. Passende Zertifikate finden Sie in der Übersicht der SSL-Zertifikate.
3. Lesen Sie die neue Datei mit „SSL-Zertifikat auslesen“ aus und installieren Sie sie auf dem Server, zusammen mit dem aktuellen Zwischenzertifikat der Zertifizierungsstelle.

Planen Sie die Erneuerung spätestens 30 Tage vor dem Ablauf. Ist das Zertifikat abgelaufen, zeigen alle Browser statt der Website eine Sicherheitswarnung.

Ja. Ein Zertifikat enthält keine Geheimnisse, ist es installiert, sendet Ihre Website es ohnehin an jeden Browser. Das eingefügte Zertifikat verarbeiten wir nur für die Prüfung und speichern es nicht. Das Ergebnis bleibt bis zu 30 Minuten in Ihrer Sitzung, damit Sie die Ergebnisseite neu laden können. Einen privaten Schlüssel, der versehentlich mit eingefügt wird, verwerfen wir sofort und zeigen ihn nie an.

Gegen Missbrauch als Massenprüfung speichern wir 24 Stunden lang einen pseudonymisierten Hash Ihrer IP-Adresse. Abgewiesene Anfragen protokollieren wir mit Zeitpunkt und IP-Adresse.