TLS-Zertifikat eines Hosts prüfen und Ergebnis verstehen

Wofür die Prüfung geeignet ist

Mit dem SSL Checker prüfen Sie, welche TLS-Zertifikats- und Verbindungsdaten für einen Host verfügbar sind. Dazu wird eine Netzwerkverbindung aufgebaut und anschließend ein TLS-Handshake versucht. Bei einer erfolgreichen Rückgabe können unter anderem Betreff, Aussteller, Serienkennung, TLS-Version, Verschlüsselungsinformationen, alternative Namen und Gültigkeitsdaten erscheinen.

Die Anleitung eignet sich, wenn Sie die Antwort eines bestimmten TLS-Dienstes anhand eines Hostnamens und eines Ports einordnen möchten. Sie erhalten dabei eine strukturierte Rückgabe mit den verfügbaren Angaben; je nach Verbindung können statt eines Zertifikats auch Fehlerdaten oder ein Hinweis auf ein fehlendes Zertifikat erscheinen. Eine angezeigte Gültigkeit beschreibt die aus den erhaltenen Zertifikatsdaten berechneten Werte und ersetzt keine weitergehende Beurteilung des Zertifikats.

Host und Port richtig prüfen

1. Tragen Sie im Hostfeld den gewünschten Hostnamen ein, zum Beispiel example.com. Die Eingabe ist optional: Wenn Sie keinen Host angeben, wird example.com verwendet. Lassen Sie das Feld jedoch nicht ausdrücklich leer, denn ein leerer Host führt zu Fehlerdaten, ohne dass eine Zertifikatsprüfung ausgeführt wird.

2. Ergänzen Sie bei Bedarf einen Port. Auch diese Eingabe ist optional; ohne Port wird 443 verwendet. Der eingegebene Portwert wird in eine Ganzzahl umgewandelt. Kann die Umwandlung nicht erfolgen, verwendet das Tool ebenfalls Port 443. Prüfen Sie deshalb vor dem Start, ob der Wert als Portnummer lesbar ist.

3. Starten Sie die Prüfung mit den eingetragenen Werten. Das Tool verwendet den angegebenen Host und Port für den Verbindungsversuch. Für den Aufbau der Netzwerkverbindung gilt eine Zeitüberschreitung von bis zu 10 Sekunden, bevor der TLS-Handshake versucht wird.

4. Warten Sie auf die Rückgabe und lesen Sie zunächst, ob Zertifikatsdaten oder Fehlerdaten vorliegen. Bei einer erfolgreichen Verbindung können Sie danach die einzelnen Felder wie Betreff, Aussteller, Serienkennung, TLS-Version, Verschlüsselungsinformationen und alternative Namen betrachten.

5. Vergleichen Sie die angezeigten Gültigkeitsdaten mit dem Zweck Ihrer Prüfung. Wenn Datumswerte verarbeitet werden können, berechnet das Tool die verbleibende Zeit in ganzen Tagen und gibt Hinweise darauf, ob das Zertifikat abgelaufen oder aktuell gültig ist. Notieren Sie bei einer Fehlermeldung den verwendeten Host und Port, damit Sie einen späteren Versuch mit denselben Eingaben einordnen können.

Zertifikatsdaten und Fehler unterscheiden

Ein Zertifikatsergebnis enthält die Felder, die während der Verbindung verfügbar waren. Betreff und Aussteller beschreiben die entsprechenden Zertifikatsangaben, während Serienkennung, TLS-Version, Verschlüsselungsinformationen und alternative Namen zusätzliche Details zur Rückgabe liefern. Die Anzahl verwandter Einträge kann ebenfalls Bestandteil der verfügbaren Daten sein.

Die Anzeige der Gültigkeit hängt davon ab, ob die Zertifikatsdaten in Datumswerte umgewandelt werden können. Gelingt das, stehen die verbleibenden ganzen Tage sowie Angaben zum abgelaufenen und zum aktuellen Zustand zur Verfügung. Scheitert die Datumsverarbeitung, fehlen nur diese daraus abgeleiteten Werte; andere zurückgegebene Zertifikats- oder Verbindungsdaten können weiterhin vorhanden sein.

Eine fehlende Zertifikatsantwort ist von einer nicht verarbeiteten Datumsangabe zu unterscheiden. Beim ersten Fall meldet die Rückgabe, dass kein Zertifikat geliefert wurde. Beim zweiten Fall liegt ein Zertifikat vor, aber die zeitbezogenen Angaben lassen sich nicht berechnen.

Auch ein Verbindungsversuch kann ohne Zertifikatsergebnis enden. Fehler beim TLS-Aufbau, bei der Hostnamenauflösung, durch eine abgelehnte Verbindung oder durch andere Ausnahmen werden als Fehlerdaten zurückgegeben. Prüfen Sie in diesem Fall zuerst Hostschreibweise und Portwert; aus den Fehlerdaten allein folgt nicht, dass ein Zertifikat ungültig ist.

Praktisches Beispiel

Sie möchten die verfügbaren TLS-Zertifikats- und Verbindungsdaten für den Dienst unter einem Hostnamen mit Port 443 betrachten.

Geben Sie example.com als Host und 443 als Port ein und starten Sie die Prüfung.

Die Rückgabe kann Zertifikatsfelder wie Betreff, Aussteller, TLS-Version und Gültigkeitsdaten enthalten. Bei einem Verbindungsproblem erscheinen stattdessen Fehlerdaten; bei fehlender Zertifikatsantwort wird dieser Zustand gesondert ausgewiesen.

Einschränkungen

• Die Prüfung kann Fehlerdaten oder eine Meldung über ein fehlendes Zertifikat liefern. Sind Zertifikatsdaten nicht als Datumswerte lesbar, fehlen die daraus berechneten Zeit- und Gültigkeitsangaben.

Häufige Fehler

• Ein ausdrücklich leeres Hostfeld verhindert die Zertifikatsprüfung und liefert Fehlerdaten. Tragen Sie einen Hostnamen ein oder lassen Sie die vorgesehene Standardeingabe greifen, statt das Feld mit einem leeren Wert abzusenden.

Häufige Fragen

Muss ich einen Host eingeben?

Der Host kann entfallen, dann wird example.com verwendet. Ein ausdrücklich leerer Wert führt dagegen zu Fehlerdaten und startet keine Zertifikatsprüfung.

Welcher Port wird geprüft, wenn ich keinen Port angebe?

Ohne Port verwendet das Tool 443. Auch bei einem Portwert, der nicht in eine Ganzzahl umgewandelt werden kann, bleibt dieser Ersatzwert bestehen.

Warum fehlen Angaben zur Gültigkeitsdauer?

Wenn die Zertifikatsdaten nicht als Datumswerte verarbeitet werden können, stehen die berechnete verbleibende Zeit und die daraus abgeleiteten Gültigkeitsanzeigen nicht zur Verfügung. Andere verfügbare Angaben können trotzdem zurückgegeben werden.