SSL-Zertifikat-Decoder und X.509-Betrachter

Ein Online-Werkzeug zum Lesen von X.509-/SSL-Zertifikaten. Es entschlüsselt jedes Feld — Betreff, Aussteller, Gültigkeit, Subject Alternative Names, Schlüsselverwendung, Erweiterungen, Certificate-Transparency-Nachweise — und erklärt dann, welche davon ein Problem darstellen. Es nimmt PEM, DER, Base64, Hex, eine ganze Kette oder eine Signieranforderung entgegen und erkennt selbst, was Sie eingefügt haben.

So geht es

1
Einfügen oder ziehen

Zertifikatstext einfügen, eine .crt/.cer/.der/.pem-Datei auf das Feld ziehen oder über die Schaltfläche wählen. Mehrere Dateien werden als eine Kette gelesen.

2
Hostnamen ergänzen

Optional. Geben Sie die Domain an, die das Zertifikat bedienen soll — es wird bestätigt, dass der Name wirklich abgedeckt ist.

3
Zuerst das Urteil lesen

Probleme stehen vor den Details, das Schwerwiegendste zuerst. Bestandene Prüfungen sind eingeklappt, damit ein gesundes Zertifikat als „nichts falsch“ liest.

4
Dann in die Felder schauen

Unter dem Urteil liegt alles ausgebreitet: Namen, Betreff, Aussteller, Schlüssel, Fingerabdrücke und jede Erweiterung entschlüsselt statt als Hex.

Fügen Sie ein Zertifikat ein und sehen Sie genau, was es abdeckt, wann es abläuft und was brechen wird

Oben einfügen, eine Datei auf dieses Feld ziehen oder
Prüft, ob das Zertifikat diesen Namen wirklich abdeckt — nach denselben Regeln wie Browser: nur SAN, Platzhalter genau ein Label tief.

Funktionen

Erklärt, statt nur zu entschlüsseln
Jeder Betrachter druckt „Signature Algorithm: sha1WithRSA“. Dieser sagt Ihnen, dass Browser SHA-1 seit 2017 ablehnen, und was stattdessen zu tun ist. Rund vierzig Prüfungen decken Ablauf, Schlüsselstärke, Benennung, Beschränkungen und CA-Hygiene ab.
Liest, was Sie tatsächlich haben
PEM, rohes DER, reines Base64, einen Hex-Dump, ein Kubernetes-Secret (Base64 eines PEM), eine JSON-Zeichenkette mit \n, einen eingerückten YAML-Block. Es meldet, wie es die Eingabe gelesen hat — ein überraschendes Ergebnis erklärt sich damit selbst.
Hostname-Prüfung nach Browser-Regeln
Geben Sie einen Hostnamen ein, und es gelten die Regeln, die Browser wirklich anwenden: nur SAN — Chrome ignoriert den Common Name seit Version 58 — und Platzhalter, die genau ein Label abdecken.
Ganze Ketten auf einmal
Fügen Sie eine fullchain-Datei ein: Die Zertifikate werden sortiert, jede Signatur geprüft, Endzertifikat, Zwischenzertifikate und Wurzel markiert — und fehlt eines, wird der Aussteller benannt.
Certificate Transparency entschlüsselt
SCT-Nachweise sind eine TLS-Struktur, kein ASN.1 — deshalb zeigen andere Decoder sie als Hex-Klumpen. Hier sehen Sie Log-IDs und Zeitstempel.
Der Fingerabdruck, der Erneuerungen überlebt
Neben SHA-256 und SHA-1 wird der Schlüssel-Pin (pin-sha256) berechnet. Er bleibt bei einer Neuausstellung mit demselben Schlüssel gleich — genau der Wert, den man für Pinning braucht.

Häufige Fragen

Im Common Name steht meine Domain — warum heißt es, der Name sei nicht abgedeckt?

Weil Browser den Common Name nicht mehr lesen. Chrome hat den Rückfall in Version 58 (2017) entfernt, die anderen folgten; heute zählt allein die Subject-Alternative-Name-Erweiterung. Ein Zertifikat, dessen Domain nur im CN steht, wird mit NET::ERR_CERT_COMMON_NAME_INVALID abgelehnt, egal wie korrekt der CN aussieht. Abhilfe: mit den Hostnamen in der SAN-Erweiterung neu ausstellen.

Warum läuft meine Seite in Chrome, scheitert aber unter Android oder in curl?

Fast immer fehlt ein Zwischenzertifikat. Desktop-Browser verbergen das: Sie speichern Zwischenzertifikate von anderen Seiten und können ein fehlendes über AIA nachladen. Android, curl, Java und die meisten API-Clients tun beides nicht und sehen eine Kette, die keine vertrauenswürdige Wurzel erreicht. Fügen Sie Ihre volle Kette hier ein — meldet der Kettenabschnitt ein fehlendes Zwischenzertifikat, ist das Ihr Fehler.

Welche Formate kann ich einfügen?

PEM (die Form mit -----BEGIN CERTIFICATE-----), rohe DER-Binärdateien, reines Base64 ohne Kopfzeile, einen Hex-Dump sowie mehrere der verstümmelten Formen, in denen Zertifikate ankommen: ein in Base64 verpacktes PEM aus einem Kubernetes-Secret, eine JSON- oder Terraform-Zeichenkette mit \n oder ein eingerückter YAML-Block. Das Werkzeug nennt die erkannte Form.

Kann es eine Signieranforderung oder einen privaten Schlüssel lesen?

Einen CSR ja — er wird entschlüsselt und seine Eigensignatur geprüft, was die meisten CSR-Decoder auslassen. Ein privater Schlüssel wird erkannt und benannt, aber dieses Werkzeug verweist Sie an das passende: den Abgleich von Schlüssel und Zertifikat oder den Formatkonverter.

Was ist der Schlüssel-Pin und wann brauche ich ihn?

Ein SHA-256-Hash des öffentlichen Schlüssels statt des ganzen Zertifikats. Da er nur den Schlüssel erfasst, bleibt er bei einer Erneuerung mit demselben Schlüssel unverändert — das macht ihn für Pinning, für Expect-CT-artige Überwachung und zur Kontrolle brauchbar, ob eine Erneuerung den alten Schlüssel wirklich wiederverwendet hat. Der gewöhnliche SHA-256-Fingerabdruck ändert sich bei jeder Neuausstellung.

Warum warnt es bei einem Zertifikat über mehrere Jahre?

Öffentlich vertrauenswürdige Zertifikate haben eine von Browsern durchgesetzte Höchstlaufzeit, und sie sinkt: 825 Tage, dann 398 ab September 2020, mit weiteren vom CA/Browser Forum beschlossenen Kürzungen. Ein öffentliches Zertifikat mit längerer Laufzeit als zum Ausstellungszeitpunkt erlaubt wird schlicht abgelehnt. Für eine private oder interne CA gilt die Grenze nicht, und das Werkzeug meldet sie nur, wenn das Zertifikat öffentlich ausgestellt wirkt.

Das könnte Ihnen auch gefallen

📝 CSR-Generator 🏷️ Generator für selbstsignierte Zertifikate 🧰 Let’s-Encrypt-Fehlersuche 🔐 SSL-Checker 🔗 Schlüssel-Zertifikat-Abgleich 🔄 Zertifikatsformat-Konverter ⛓️ Zertifikatsketten-Reparatur

Wie bewerten Sie dieses Tool?

Danke für Ihre Bewertung!
Möchten Sie mehr sagen? Hinterlassen Sie einen Kommentar!
Danke! Ihr Kommentar erscheint nach der Moderation.
Für wen ist dieses Tool gedacht?
💻 Entwicklerinnen & IT-Profis 🔒 Sicherheit & Privatsphäre
Veröffentlicht Aktualisiert Autor: