So funktioniert es
- Fügen Sie den PEM-Text eines Zertifikats, einer Kette, eines CSR oder eines privaten Schlüssels ein oder klicken Sie auf Datei öffnen, um eine .pem-, .crt-, .cer- oder .key-Datei zu wählen (DER funktioniert ebenfalls).
- Jeder Block erscheint auf einer eigenen Karte. Zertifikate zeigen die Tage bis zum Ablauf; private Schlüssel zeigen, ob sie passen.
- Wenn Sie mehrere Zertifikate einfügen, erscheint oben die Prüfung der Kettenreihenfolge.
Optionen erklärt
- Alternative Inhabernamen (SAN)
- Die Namen, für die das Zertifikat gültig ist. Browser verwenden diese Liste, nicht den CN im Inhaberfeld.
- Validierungsstufe
- DV (nur Domain), OV (Organisation) oder EV, aus den Zertifikatsrichtlinien gelesen.
- SPKI SHA-256
- Der Fingerabdruck des öffentlichen Schlüssels für das Pinning; er bleibt gleich, wenn Sie mit demselben Schlüssel erneuern.
Welche Blöcke gelesen werden und wie die Prüfungen funktionieren
Der Decoder teilt Ihren Text an jeder Zeile -----BEGIN …----- auf und verarbeitet diese Bezeichnungen:
| PEM-Bezeichnung | Angezeigt als |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Zertifikat |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Zertifikatsanforderung (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Privater Schlüssel |
PUBLIC KEY |
Öffentlicher Schlüssel |
ENCRYPTED PRIVATE KEY oder ein älterer Schlüssel mit dem Header Proc-Type: 4,ENCRYPTED |
Verschlüsselter privater Schlüssel (nicht gelesen) |
Jede andere Bezeichnung wird als nicht lesbar gemeldet. Text ganz ohne PEM-Header wird als reines Base64-DER versucht, und bei einer über „Datei öffnen“ gewählten Datei mit rohem DER wird geraten, ob es ein Zertifikat, eine CSR oder ein Schlüssel ist.
Die „Validierungsstufe“ ergibt sich aus den Zertifikatsrichtlinien-Kennungen, die das CA/Browser Forum definiert hat:
| Richtlinien-OID | Stufe |
|---|---|
| 2.23.140.1.2.1 | DV (domainvalidiert) |
| 2.23.140.1.2.2 | OV (organisationsvalidiert) |
| 2.23.140.1.2.3 | IV (personenvalidiert) |
| 2.23.140.1.1 | EV (erweiterte Validierung) |
Ein Zertifikat ohne eine dieser Richtlinien zeigt keine Validierungsstufe an. Signaturalgorithmen, die mit MD5 oder SHA-1 beginnen, werden markiert, weil Browser ihnen nicht mehr vertrauen.
Werden mehrere Zertifikate eingefügt, vergleicht die Kettenprüfung nur Namen: Der Aussteller jedes Zertifikats muss der Inhaber des nächsten Zertifikats sein. Sie meldet eine falsche Reihenfolge, ein wiederholtes Zertifikat und eine selbstsignierte Root, die in der Kette enthalten ist. Signaturen und Vertrauen werden nicht geprüft, eine Kette kann hier also bestehen und auf einem echten Server trotzdem scheitern.
Häufig gestellte Fragen
Wie prüfe ich, ob ein privater Schlüssel zu einem Zertifikat passt?
Fügen Sie beides ein. Das Tool vergleicht den im privaten Schlüssel enthaltenen öffentlichen Schlüssel mit dem öffentlichen Schlüssel des Zertifikats. Nutzen Sie es, wenn nginx „key values mismatch“ meldet.
In welcher Reihenfolge muss eine Zertifikatskette stehen?
Zuerst das Serverzertifikat, dann das Zwischenzertifikat, das es ausgestellt hat, und so weiter die Kette hinauf. Das Stammzertifikat wird meist weggelassen. Eine falsche Reihenfolge lässt manche Clients scheitern.
Ist es sicher, einen privaten Schlüssel einzufügen?
Alles wird in Ihrem Browser ausgewertet und nichts wird an einen Server gesendet. Passwortgeschützte Schlüssel werden nicht ausgewertet.
Prüft es Vertrauen oder Sperrung?
Nein, es liest nur die Datei. Um das Zertifikat einer Live-Website zu prüfen, nutzen Sie den SSL-Zertifikat-Checker.
Datenschutz
Dieses Tool läuft vollständig in Ihrem Browser. Ihre Dateien und Texte werden auf Ihrem Gerät verarbeitet und nie auf unsere Server hochgeladen.