Zum Hauptinhalt springen
Bethemesh
Sicherheit & Datenschutz

X.509-Zertifikat- & CSR-Inspektor

Füge ein PEM-Zertifikat oder eine Zertifikatsanforderung (CSR) ein und lies Subjekt, Aussteller, Seriennummer, Gültigkeit und Resttage, SANs, Schlüsselalgorithmus und SHA-256-Fingerabdruck. Lokale Analyse.

  • Zwischenablage

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Lokales Lesen der ASN.1-Struktur: Das Tool prüft weder die Vertrauenskette noch den Widerruf. Eine fullchain.pem zeigt eine Karte pro Zertifikat.

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

Dieser Inspektor dekodiert ein X.509-Zertifikat oder eine Zertifikatsanforderung (CSR) im PEM-Format und zeigt eine lesbare Zusammenfassung: Subjekt, Aussteller, Seriennummer, Gültigkeitszeitraum, alternative Namen, öffentlicher Schlüssel und SHA-256-Fingerabdruck. Er ist für Administratoren und Entwickler gedacht, die ein TLS-Zertifikat vorbereiten, erneuern oder debuggen, ohne sich durch die openssl-Ausgabe zu kämpfen.

Eine PEM-Datei (RFC 7468) ist nur die Base64-Kodierung einer binären DER-Struktur, eingerahmt von einer Zeile -----BEGIN CERTIFICATE----- oder -----BEGIN CERTIFICATE REQUEST-----. Das Tool dekodiert dieses Base64 und durchläuft die ASN.1-Struktur im Browser. Bei einem X.509-v3-Zertifikat (RFC 5280) liest es Seriennummer, Aussteller, Subjekt, den Gültigkeitszeitraum notBefore/notAfter, die Angaben zum öffentlichen Schlüssel (etwa RSA 2048 Bit oder EC P-256) und die Erweiterung Subject Alternative Name, die die abgedeckten DNS-Namen und IP-Adressen auflistet. Das Ablaufdatum wird mit der Uhr deines Geräts verglichen, um die Resttage oder „abgelaufen“ anzuzeigen.

Eine CSR folgt dem Format PKCS #10 (RFC 2986): Sie enthält das gewünschte Subjekt, den öffentlichen Schlüssel und meist die gewünschten SANs im Attribut extensionRequest, alles signiert mit dem zugehörigen privaten Schlüssel. Sie hat deshalb weder Aussteller noch Gültigkeitsdaten, denn diese werden erst festgelegt, wenn die Zertifizierungsstelle das Zertifikat signiert. Der SHA-256-Fingerabdruck wird mit Web Crypto über die vollständigen DER-Bytes berechnet: Er entspricht openssl x509 -noout -fingerprint -sha256 oder der Fingerabdruck-Ansicht eines Browsers, abgesehen von Doppelpunkten und Groß-/Kleinschreibung. Die Zusammenfassung lässt sich als JSON exportieren; Vertrauenskette und Sperrstatus prüft das Tool dagegen nicht.

So verwenden Sie dieses Tool

  1. PEM einfügen oder importieren

    Füge den Block -----BEGIN CERTIFICATE----- oder -----BEGIN CERTIFICATE REQUEST----- ein oder importiere eine .pem-, .crt-, .cer- oder .csr-Datei im Textformat.

  2. Inspektion starten

    Das Tool erkennt, ob es sich um ein Zertifikat oder eine CSR handelt, und zeigt die Zusammenfassung: Subjekt, Aussteller, Seriennummer, Daten mit Resttagen, Schlüsselalgorithmus, SANs und SHA-256-Fingerabdruck.

  3. Prüfen und exportieren

    Kontrolliere Namen, Daten und Schlüssel und kopiere oder exportiere die Zusammenfassung als JSON für deine Dokumentation oder dein Ticket.

Tage bis zum Ablauf

Tage bis zum Ablauf

verbleibende ganze Tage = abgerundet((Ablaufzeitpunkt − aktueller Zeitpunkt) / 86.400.000 Millisekunden)

Anwendungsfälle

Eine CSR vor dem Einreichen bei der Zertifizierungsstelle prüfen

Kontrolliere, ob die von deinem Server oder Hosting-Panel erzeugte CSR den richtigen Common Name, alle nötigen SANs (mit und ohne www) und einen ausreichend starken Schlüssel enthält, bevor du bezahlst oder die Ausstellung startest.

Herausfinden, wann ein Zertifikat abläuft

Füge das per E-Mail erhaltene oder vom Server geholte Zertifikat ein, um das Enddatum und die Resttage zu sehen und die Erneuerung rechtzeitig zu planen.

Das richtige Zertifikat unter mehreren Dateien finden

Bei mehreren .crt- oder .pem-Dateien vergleichst du Subjekt, Aussteller, Seriennummer und SHA-256-Fingerabdruck, um zu erkennen, welches das Serverzertifikat, welches das Zwischenzertifikat und welches tatsächlich im Einsatz ist.

Beispiele

Einen PEM-Privatschlüssel zurückweisen

Eingabe

-----BEGIN PRIVATE KEY-----
AA==
-----END PRIVATE KEY-----

Ergebnis

Nicht unterstützter Typ: Der Inspektor akzeptiert X.509-Zertifikate und Zertifikatsanfragen (CSR), aber keine privaten Schlüssel.

Tipps und bewährte Vorgehensweisen

  • Browser ignorieren den Common Name (CN) und werten nur die SANs aus: Fehlt dort ein Hostname, wird das Zertifikat für diesen Namen abgelehnt, auch wenn er im Subjekt steht.
  • Eine .cer- oder .der-Datei kann binär sein: Beginnt sie nicht mit -----BEGIN, wandle sie zuerst mit openssl x509 -inform der -in cert.der -out cert.pem in PEM um.
  • Eine fullchain.pem enthält mehrere Zertifikate hintereinander, das Serverzertifikat zuerst: Füge nur den Block ein, den du prüfen willst, und niemals einen privaten Schlüssel (-----BEGIN PRIVATE KEY-----), der hier nicht gebraucht wird.

Quellen und Referenzen

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer CSR und einem Zertifikat?

Die CSR ist die Anfrage: Sie enthält Subjekt, öffentlichen Schlüssel und gewünschte Namen und ist mit deinem eigenen privaten Schlüssel signiert. Das Zertifikat ist die Antwort der Zertifizierungsstelle: Es übernimmt diese Angaben, ergänzt Aussteller, Seriennummer und Gültigkeitsdaten und wird von der Stelle signiert. Der private Schlüssel verlässt deinen Server dabei nie.

Wie finde ich das Ablaufdatum eines Zertifikats heraus?

Das Ablaufdatum ist das Feld notAfter im Gültigkeitszeitraum. Füge das Zertifikat hier ein, um es samt Resttagen zu lesen, oder nutze openssl x509 -noout -enddate -in cert.pem auf der Kommandozeile. Bei einer Live-Website zeigt es auch der Browser in den Zertifikatsdetails hinter dem Schloss-Symbol.

Was ist der Subject Alternative Name (SAN)?

Das ist die X.509-Erweiterung, die alle DNS-Namen und IP-Adressen auflistet, für die das Zertifikat gilt, etwa example.com und www.example.com. Seit Chrome sie verlangt (2017) und laut den Baseline Requirements des CA/Browser Forum ist sie die einzige Liste, die zur Prüfung eines Hostnamens herangezogen wird. Ein Wildcard-Zertifikat *.example.com deckt eine Ebene von Subdomains ab, aber nicht example.com selbst.

Wozu dient der SHA-256-Fingerabdruck eines Zertifikats?

Der Fingerabdruck ist der SHA-256 des gesamten DER-kodierten Zertifikats: Er identifiziert ein Zertifikat eindeutig, ohne es vollständig zu kopieren. Damit prüfst du, ob das eingesetzte Zertifikat das erwartete ist, pinnst es in einer App oder findest es in Certificate-Transparency-Logs. Er ist nicht im Zertifikat gespeichert, sondern wird jedes Mal neu berechnet.

Prüft das Tool, ob das Zertifikat gültig und vertrauenswürdig ist?

Nein. Es dekodiert den Inhalt und vergleicht die Daten mit deiner Uhr, prüft aber weder die Signatur der Zertifizierungsstelle noch die Kette bis zu einer vertrauenswürdigen Wurzel noch den Sperrstatus (OCSP oder CRL). Dafür nutzt du openssl verify mit der vollständigen Kette oder einen Servertest wie SSL Labs.

Wie lange darf ein TLS-Zertifikat 2026 höchstens gültig sein?

Seit dem 15. März 2026 sind öffentliche TLS-Zertifikate laut Abstimmung SC-081 des CA/Browser Forum auf 200 Tage begrenzt, statt zuvor 398. Die Grenze sinkt am 15. März 2027 auf 100 Tage und am 15. März 2029 auf 47 Tage. Eine automatisierte Erneuerung, etwa per ACME, wird damit unverzichtbar.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Ähnliche Werkzeuge

Hash-Vergleich

Prüfe, ob zwei Hashes oder Prüfsummen übereinstimmen, unabhängig von Groß-/Kleinschreibung, Leerzeichen oder Doppelpunkten.

Sicherheit & DatenschutzDieses Werkzeug verwenden

JWK-/JWKS-Inspektor

Analysiere einen JWK oder ein JWKS: kid, kty, alg, use, RFC-7638-Thumbprint und Warnung bei offengelegtem privatem Schlüssel.

Sicherheit & DatenschutzDieses Werkzeug verwenden

Security-Header-Generator

Erzeuge HSTS, nosniff, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP und X-Frame-Options für Nginx oder Apache.

Sicherheit & DatenschutzDieses Werkzeug verwenden

Auch interessant