netlupaSSL-Zertifikat einer Website prüfen
Gib eine Domain ein, um zu prüfen, ob ihr HTTPS-Zertifikat gültig ist, wie viele Tage es noch hat und welche Namen es abdeckt.
So prüfst du ein SSL-Zertifikat
Gib die Domain der Website ein (oder füge ihre URL ein). Für einen anderen Dienst hänge den Port an: :465 (SMTP), :993 (IMAP)…
Klicke auf „Prüfen“: Wir verbinden uns wie ein Browser und lesen das Zertifikat.
Prüfe, ob es gültig ist, wie viele Tage es noch hat und ob es alle Namen abdeckt, die du nutzt (mit und ohne www).
Was ist ein SSL-Zertifikat (TLS)?
Das Zertifikat ist das digitale Dokument, mit dem eine Website HTTPS nutzen kann. Es hat zwei Aufgaben: die Verbindung zwischen deinem Browser und dem Server zu verschlüsseln und zu beweisen, dass der Server wirklich zur eingegebenen Domain gehört und kein Betrüger ist.
Ausgestellt wird es von einer Zertifizierungsstelle (Let's Encrypt, DigiCert, Sectigo, Google Trust Services…), nachdem sie geprüft hat, dass der Antragsteller die Domain kontrolliert. Auch wenn man noch „SSL“ sagt, ist das aktuelle Protokoll TLS: SSL ist seit Jahren veraltet.
Warum ein Zertifikat ungültig wird
- Ablauf: Jedes Zertifikat läuft ab. Zertifikate von Let's Encrypt gelten 90 Tage, und die maximale Laufzeit aller Zertifikate wird schrittweise auf 47 Tage verkürzt. Üblich ist die automatische Verlängerung.
- Falscher Name: Ein Zertifikat für example.com gilt nicht für www.example.com, es sei denn, es steht in seiner Namensliste (oder es ist ein Wildcard *.example.com).
- Unvollständige Kette: Der Server muss auch die Zwischenzertifikate senden. Fehlt eines, scheitern manche Browser und fast alle Programme.
- Selbstsigniert: vom Server selbst erzeugt, ohne Stelle dahinter. Für Tests in Ordnung, nicht für eine öffentliche Website.
- Widerrufen: Der Aussteller hat es für ungültig erklärt, zum Beispiel weil der private Schlüssel durchgesickert ist.
Worauf du im Ergebnis achten solltest
- Verbleibende Tage: Sind es weniger als zwei Wochen und die Verlängerung läuft automatisch, stimmt etwas nicht.
- Abgedeckte Namen: Prüfe, ob alle Namen dabei sind, die du nutzt, mit und ohne www, dazu die Subdomains.
- Aussteller: Er zeigt, welche Stelle signiert hat und wo daher verlängert wird.
- Öffentlicher Schlüssel: RSA mit 2048 Bits oder mehr oder ECDSA (schneller bei gleicher Sicherheit).
- Protokoll: TLS 1.3 oder 1.2. Die Versionen 1.0 und 1.1 sind abgekündigt, Browser unterstützen sie nicht mehr.
Auch für E-Mail und andere Dienste
Mail-, LDAP- und verschlüsselte DNS-Server nutzen dieselben Zertifikate. Hänge den Port an die Domain an, um sie zu prüfen:
- 465: Mailversand (SMTP über TLS).
- 993: IMAP über TLS.
- 995: POP3 über TLS.
- 636: LDAP über TLS.
- 853: DNS über TLS.
- 8443: alternative Web-Oberflächen.
Aus Sicherheitsgründen erlauben wir nur diese Ports und verbinden uns nie mit privaten Adressen.
Häufige Fragen
Wie erfahre ich, wann das Zertifikat meiner Website abläuft?
Gib deine Domain in das Tool ein: Du siehst das genaue Datum und die verbleibenden Tage. Im Browser findest du es auch per Klick auf das Schloss neben der Adresse.
Im Browser funktioniert die Website, hier heißt es, die Kette sei nicht vertrauenswürdig. Warum?
Meist ist die Kette unvollständig: Manche Browser laden das fehlende Zwischenzertifikat selbst nach, viele Programme, Apps und Server aber nicht. Konfiguriere deinen Server so, dass er das Zertifikat mit der vollständigen Kette (fullchain) sendet.
Ist ein kostenloses Zertifikat weniger sicher als ein kostenpflichtiges?
Nein. Die Verschlüsselung ist dieselbe. Kostenpflichtige können eine Firmenvalidierung (OV/EV), Garantien oder Support enthalten, aber Browser behandeln sie genau wie eines von Let's Encrypt.
Was ist ein Wildcard-Zertifikat?
Eines für *.example.com, das für jede Subdomain einer Ebene gilt (www, shop, mail…), aber nicht für example.com selbst oder sub.sub.example.com, sofern sie nicht separat hinzugefügt werden.