Eingaben
Beispiel
Füge eine PEM-Chain ein oder hole ein öffentliches Host-Zertifikat und prüfe SAN-Matching, Ablauf, Aussteller, Algorithmen, EKU, AIA/OCSP, CRL, Policies, SCT-Zahl, Fingerprints und SPKI-Hashes.
SSL-Zertifikat-Decoder
Dekodiert X.509-Zertifikate im Browser oder holt ein öffentliches Host-Zertifikat über den eingeschränkten TLS-Endpunkt.
Nutze es, um eingefügte oder live geholte X.509-Zertifikate schnell und praxisnah zu bewerten, bevor Hostname-, Chain-, DANE- oder Endpunkt-Abweichungen untersucht werden.
Was ein Zertifikat wirklich aussagt
Ein TLS-Zertifikat ist ein dichtes Bündel von Behauptungen — wer das Subject ist, welche Namen abgedeckt sind, wer gebürgt hat, mit welchen Algorithmen, bis wann — und die meisten zertifikatsbedingten Ausfälle laufen auf ein Feld hinaus, das niemand angesehen hat: eine SAN-Liste ohne genau den Hostnamen, der zählt, ein Ablaufdatum auf einem Zertifikat, das alle für auto-renewed hielten, eine Chain, die das Leaf ohne sein Intermediate ausliefert. Die Information ist immer da; sie ist nur in Formaten kodiert, die für Maschinen gebaut wurden.
Dieser Decoder akzeptiert exaktes CERTIFICATE-PEM, Zertifikatsketten, striktes Base64-DER und striktes hexadezimales DER und erstellt daraus einen lesbaren X.509-Report: Version, Seriennummer, beide Signaturalgorithmus-Felder, Subject, Issuer, Gültigkeit, SPKI, SAN, KU, EKU, Basic Constraints, SKI, AKI, AIA, CRL Distribution Points, Policies, Name Constraints, SCT-Inventar und unbekannte kritische Extensions. Er kann auch Zertifikat und präsentierte Chain eines öffentlichen Implicit-TLS-Dienstes abrufen.
Vom PEM-Paste zur Chain-Lektüre
Füge das Zertifikat ein, wenn du es hast — aus einer Datei, einem Ticket, einem ACME-Log — und lies Verdikt und Befunde vor den Extensions. Der SAN-Abgleich gegen den beabsichtigten Hostnamen und das Gültigkeitsfenster klären die Mehrheit der praktischen Fragen. Hex- und Base64-Eingabe existieren genau deshalb, weil Zertifikate in unbequemen Formen ankommen: Ein Blob aus einer Log-Pipeline dekodiert genauso gut wie eine saubere PEM-Datei.
Bei einer Live-Frage hole das Zertifikat, das der Host tatsächlich präsentiert, und vergleiche es mit dem erwarteten Stand — nach Renewals ist das der Moment, in dem Abweichungen sichtbar werden, und die Chain-Tabelle zeigt, ob Intermediates ausgeliefert statt nur angenommen werden. Die SPKI-Hash-Ausgabe ist die Brücke zur DANE-Arbeit: Sie ist der Wert, den TLSA-Records mit Selector 1 pinnen — der Decoder ist damit der Faktencheck, bevor TLSA- oder CAA-Records angefasst werden.
Dekodieren ist nicht Verifizieren
Eingefügtes Zertifikatsmaterial bleibt im Browser. Der Live-Abruf sendet Host und Port an /api/tls-cert.php, das nur öffentliche DNS-Namen auflöst, private und reservierte Ziele blockiert, nur übliche Implicit-TLS-/HTTPS-Ports zulässt und Peer-Zertifikat samt präsentierter Chain erfasst, soweit OpenSSL sie offenlegt. Der Hostname-Abgleich folgt einer RFC-9525-artigen SAN-only-Identität: kein Common-Name-Fallback, IP-Literale passen nur zu iPAddress-SANs und ein Wildcard deckt genau ein vollständiges linkes Label ab. Chain-Reihenfolge sowie Issuer/Subject- oder AKI/SKI-Verknüpfung sind nur strukturelle Evidenz; kryptografische Chain-Signaturen, Trust Anchor, Sperrstatus und CT-Log-Inklusion werden nicht verifiziert.
Häufige Fragen
Welches Zertifikat erfasst der Live-Abruf?
Das Peer-Zertifikat, das der öffentliche Host auf dem gewählten Port präsentiert, plus die ausgelieferte Chain, wenn verfügbar. Gedacht für die Inspektion des deployten Leafs — das, was Renewals und Load Balancer am häufigsten falsch machen.
Warum ist Dekodieren nicht dasselbe wie Verifizieren?
Dekodieren liest, was das Zertifikat behauptet. Verifizieren entscheidet, ob man es glaubt — mit Chain-Building, Trust-Stores, Hostname-Policy, Revocation und Timing. Dieses Tool liefert die Behauptungen und ihre innere Konsistenz.
Fällt der Decoder auf den Common Name des Zertifikats zurück?
Nein. DNS-Identität wird ausschliesslich gegen dNSName-SAN-Einträge abgeglichen, IP-Literale ausschliesslich gegen iPAddress-SAN-Einträge. Ein Common Name wird als Zertifikatsinhalt angezeigt, aber nie als erfolgreicher Identitäts-Fallback verwendet.
Was prüfe ich nach einem Renewal?
Seriennummer und Gültigkeitsfenster, um zu bestätigen, dass wirklich das neue Zertifikat ausgeliefert wird, die SAN-Liste gegen jeden genutzten Namen und die Chain-Tabelle auf fehlende Intermediates — die drei Renewal-Klassiker, in dieser Reihenfolge.
Warum werden SPKI-Hashes angezeigt?
Weil der SubjectPublicKeyInfo-Hash das ist, was schlüsselbasiertes Pinning nutzt — insbesondere DANE-TLSA-Records mit Selector 1. Ihn hier abzulesen heißt: Der anderswo publizierte Wert stammt aus dem Zertifikat, nicht aus einer Handabschrift.
Warum wird noch ein SHA-1-Fingerprint gezeigt?
Rein als Identifikator: Viele Betriebssysteme und Konsolen referenzieren Zertifikate weiterhin über SHA-1-Fingerprints. Die Anzeige dient dem Querverweis, nicht als Empfehlung für irgendeinen kryptografischen Einsatz.
Kann der Decoder interne Hosts live inspizieren?
Nein. Der Live-Endpunkt akzeptiert öffentliche DNS-Namen auf wenigen TLS-Ports. Für interne Systeme: Zertifikat exportieren und den Paste-Pfad nutzen — die Analyse ist dieselbe.