TLS-Handshake direkt vom Server aus starten, Zertifikat lesen, Protokoll aushandeln und verbleibende Gültigkeit prüfen.
Prüfen Sie SSL/TLS-Zertifikate online. Geben Sie eine Domain ein, um Zertifikatsgültigkeit, Domain-Übereinstimmung, verbleibende Tage, TLS-Version, Cipher Suites und SAN-Liste anzuzeigen. Handshake wird vom Backend initiiert, keine CORS-Probleme.
Zertifikatsablauf, Domain-Nichtübereinstimmungen und Konfigurationsfehler sind die häufigsten Ausfallarten bei HTTPS-Websites. Nach Ablauf zeigen Browser eine 'Nicht sicher'-Warnung an, die zu Besucherabwanderung führt, und das Google-Suchranking wird ebenfalls beeinträchtigt. Regelmäßige Prüfung und vorzeitige Erneuerung sind grundlegende DevOps-Aufgaben, um den normalen HTTPS-Betrieb zu gewährleisten.
SSL Labs führt eine Tiefenbewertung durch (einschließlich umfassender Tests von Protokollen, Suiten, Schwachstellen, dauert etwa 2 Minuten), während dieses Tool schnelle Basisprüfungen durchführt (Ergebnisse in 1-3 Sekunden), Kerninformationen wie Zertifikatsgültigkeit, Ablauf, TLS-Version, Cipher Suites und SAN-Liste abdeckt und für schnelle Validierung vor der Einführung, Erneuerungsbestätigung und Fehlerbehebung geeignet ist.
Mögliche Ursachen: 1) Website blockiert ausländische IPs (Prüfserver befinden sich im Ausland); 2) Server führt SNI-Unterscheidung durch, aber die Konfiguration ist unvollständig; 3) Verwendet ein selbstsigniertes Intranet-Zertifikat; 4) Firewall blockiert Prüfknoten. Ein Prüffehlschlag bedeutet nicht, dass das Zertifikat Probleme hat; dies muss anhand spezifischer Fehlermeldungen beurteilt werden.
TLS 1.3 (2018, RFC 8446) ist die neueste Version, mit einer Handshake-Geschwindigkeit von 2-RTT bei TLS 1.2 auf 1-RTT oder sogar 0-RTT verbessert, unsichere Algorithmen wie RSA-Schlüsselaustausch, RC4 und SHA-1 entfernt, Forward Secrecy standardmäßig aktiviert, mit deutlichen Verbesserungen sowohl bei Sicherheit als auch Leistung. Bei neuen Bereitstellungen wird empfohlen, TLS 1.3-Unterstützung zu priorisieren und TLS 1.2 für die Kompatibilität mit alten Clients beizubehalten.
Es wird empfohlen, 30 Tage vor Ablauf mit der Erneuerungsvorbereitung zu beginnen und die Bereitstellung mindestens 7 Tage im Voraus abzuschließen. Das Tool verwendet Farbwarnungen: >30 Tage Grün (Normal), 7-30 Tage Gelb (sollte erneuern), <7 Tage Rot (Dringend). Let's Encrypt-Zertifikate haben eine Gültigkeit von 90 Tagen; es wird empfohlen, die automatische Erneuerung zu konfigurieren.
Let's EncryptSAN (Subject Alternative Name, alternativer Antragstellername) ist eine Liste von Domains/IPs, die für die Verwendung im Zertifikat deklariert sind. Moderne Browser (Chrome 58+) vertrauen dem Common Name(CN)-Feld nicht mehr und prüfen nur SAN. Wenn die aufgerufene Domain nicht in der SAN-Liste steht, melden Browser einen 'Namensübereinstimmungsfehler'. Ein Zertifikat kann mehrere Domains über SAN abdecken (z.B. example.com, www.example.com, api.example.com).
Zertifikats-Fingerabdrücke (SHA-1/SHA-256) sind Hash-Werte des Zertifikatsinhalts, verwendbar für HPKP (veraltet), Certificate Pinning und manuelle Überprüfung, ob bereitgestellte Zertifikate den Erwartungen entsprechen — beispielsweise bestätigen, ob CDN neue Zertifikate korrekt geladen hat, oder ob Zertifikate zwischen mehreren Servern identisch sind. Hinweis: SHA-1-Fingerabdrücke dienen nur zur Identifizierung und sollten nicht für Sicherheitsüberprüfungen verwendet werden.
Die SSL/TLS-Zertifikatsprüfung ist der Prozess, einen TLS-Handshake vom Client zu initiieren, um die vom Zielserver zurückgegebenen Zertifikatsinformationen abzurufen und zu analysieren und dadurch zu bestimmen, ob die HTTPS-Konfiguration korrekt ist. Kernprüfpunkte umfassen: ob das Zertifikat innerhalb seiner Gültigkeitsdauer liegt, ob die aufgerufene Domain in der Zulassungsliste des Zertifikats steht (SAN-Übereinstimmung), ob die Zertifikatskette vollständig und vertrauenswürdig ist, ob die verwendete TLS-Protokollversion und Cipher Suites sicher sind usw.
**Warum ist die Zertifikatsprüfung so wichtig?** SSL-Zertifikate sind die Vertrauensgrundlage von HTTPS. Sobald Probleme mit dem Zertifikat auftreten (am häufigsten ist der Ablauf), blockieren Browser den Zugriff direkt und zeigen eine rote Warnseite 'Ihre Verbindung ist nicht privat', was direkten Schaden für Website-Traffic, Konversionsraten, SEO-Ranking und Markenvertrauen verursacht. Laut Überwachung ist der Zertifikatsablauf die häufigste Ursache für HTTPS-Ausfälle und macht über 40% aller HTTPS-Vorfälle aus.
**Wie unterscheidet sich dies vom direkten Zugriff in einem Browser?** Browserzugriff kann aufgrund von Cache, HSTS, Unternehmensproxys, Client-Zertifikaten usw. Abweichungen aufweisen; während Zertifikatsprüftools Standard-TLS-Handshakes von unabhängigen Knoten initiieren und objektive, standardisierte Zertifikatsinformationen zurückgeben, die für DevOps-Validierungsszenarien geeignet sind. Dieses Tool initiiert TLS-Handshakes direkt von Backend-Servern, **ohne Browser-CORS-Einschränkungen**, und kann jede öffentlich erreichbare HTTPS-Domain prüfen.
**Kerninformationen, die dieses Tool prüft**: Zertifikatsautorisierungsstatus (gültig oder nicht), spezifische authorizationError-Fehlermeldungen, TLS-Protokollversion (TLS 1.2/1.3), ausgehandelte Cipher Suite, ALPN-Protokollverhandlungsergebnisse (h2/http/1.1), Zertifikatsaussteller (Subject/Issuer), Gültigkeitsbeginn und -ende (validFrom/validTo), verbleibende Tage (mit Farbwarnungen), SAN-Liste der alternativen Antragstellernamen, SHA-1/SHA-256-Fingerabdrücke, Antwortzeit und vollständige JSON-Details.
Prüfergebnisse werden normalerweise in 1-3 Sekunden zurückgegeben, geeignet für Szenarien wie schnelle Validierung vor der Einführung, Erneuerungsbestätigung und Fehlerbehebung. Für eine Tiefenbewertung (wie die A+-F-Bewertung von SSL Labs einschließlich Renegotiation, Schwachstellentests, Protokollunterstützung usw.) wird empfohlen, zusammen mit SSL Labs Server Test zu verwenden.
| Protokollversion | Veröffentlichungsjahr | Aktueller Status | Anmerkungen |
|---|---|---|---|
SSL 1.0-3.0 | 1995-1996 | ❌ Veraltet/Unsicher | Enthält kritische Schwachstellen wie POODLE; von allen modernen Browsern deaktiviert |
TLS 1.0 | 1999 | ❌ Veraltet | BEAST-, CRIME-Schwachstellen; seit PCI DSS 2018 verboten |
TLS 1.1 | 2006 | ❌ Veraltet | In RFC 8996 offiziell veraltet; Chrome/Firefox haben Unterstützung 2020 entfernt |
TLS 1.2 | 2008 | ⚠️ Weit verbreitet (Übergang) | Derzeit am weitesten verbreitet mit bester Kompatibilität, birgt aber Risiken einiger schwacher Cipher Suites |
TLS 1.3 | 2018 (RFC 8446) | ✅ Empfohlen | Schnellerer Handshake (1-RTT/0-RTT), schwache Algorithmen entfernt, von modernen Browsern bevorzugt |
| Verbleibende Tage | Statusfarbe | Empfohlene Maßnahme |
|---|---|---|
| >30 Tage | 🟢 Grün (Normal) | Keine Maßnahme erforderlich; regelmäßig prüfen |
| 7-30 Tage | 🟡 Gelb (Warnung) | Erneuerungsprozess so schnell wie möglich starten, um Austausch vor Ablauf sicherzustellen |
| <7 Tage | 🔴 Rot (Dringend) | Sofort erneuern; Browser blockieren den Zugriff nach Ablauf |
| 0 Tage/Abgelaufen | 🔴 Rot (Abgelaufen) | Zertifikat ist ungültig; Benutzer sehen Sicherheitswarnungen und es muss umgehend behoben werden |
| Fehlertyp | Häufige Ursachen | Lösungsrichtung |
|---|---|---|
| Zertifikat abgelaufen (expired) | Zertifikat wurde nach validTo-Datum nicht erneuert | Sofort erneuern und neues Zertifikat bereitstellen |
| Namensübereinstimmungsfehler (name mismatch) | Aktuell aufgerufene Domain nicht in der SAN-Liste des Zertifikats | Zertifikat mit Zieldomain neu ausstellen oder CDN-Ursprungskonfiguration überprüfen |
| Unvollständige Kette (incomplete chain) | Server hat Zwischenzertifikate nicht korrekt konfiguriert | Zwischenzertifikat kombiniert mit Blattzertifikat bereitstellen |
| Selbstsigniertes Zertifikat (self-signed) | Zertifikat wurde von einer privaten CA ausgestellt, ist nicht öffentlich vertrauenswürdig | Öffentlich vertrauenswürdige CA wie Let's Encrypt zur Zertifikatsausstellung verwenden |
| Nicht vertrauenswürdiger Aussteller (untrusted issuer) | CA-Root-Zertifikat befindet sich nicht im Vertrauensspeicher des Browsers | Durch ein von einer vertrauenswürdigen CA ausgestelltes Zertifikat ersetzen |
