Ablaufdatum, verbleibende Tage, Aussteller und Kettengültigkeit für jede öffentliche Domain — ohne Konto, und nichts, was Sie hier eingeben, wird gespeichert.
Es öffnet eine TLS-Verbindung zu dem Host, den Sie angeben, liest das Zertifikat, das dieser Host tatsächlich ausliefert, und berichtet, was ein Browser sehen würde:
notAfter des
Leaf-Zertifikats.Es ist dieselbe Zertifikatsinspektion, die unsere bezahlten TLS-Checks ausführen, ohne Konto zugänglich gemacht. Sie läuft aus Frankreich, eine Anfrage nach der anderen, und speichert nichts: keine Historie, keine Protokolle darüber, was Sie nachgeschlagen haben, keine Ergebnisse, die nach dem Senden der Antwort aufbewahrt werden.
Inzwischen hat jeder Zertifikatsautomatisierung, und genau deshalb sind Zertifikatsausfälle noch üblich. Die Verlängerung ist unsichtbar, bis sie eines Tages leise aufhört zu funktionieren — das ACME-Konto lief ins Rate-Limit, der Pfad der HTTP-01-Challenge liegt jetzt hinter einer Authentifizierung, der Cronjob, der verlängert, ist der Cronjob, dessen Stillstand niemand bemerkt hat. In jedem Fall funktioniert das Zertifikat weiter — bis genau zu der Stunde, in der es das nicht mehr tut, und dann verweigern jeder Browser und jeder API-Client gleichzeitig.
Der Ausfall ist total statt graduell. Es gibt keinen degradierten Modus für ein abgelaufenes Zertifikat: eine Website, die um 9:59 Uhr in Ordnung war, ist um 10:00 Uhr unerreichbar, und die Ersten, die es merken, sind Ihre Kunden. Zahlungsstrecken und mobile Apps mit Certificate Pinning trifft es am härtesten, weil sie keinen „Trotzdem fortfahren"-Knopf haben.
Ein Zertifikat kann völlig gültig sein und trotzdem für den Großteil des
Internets scheitern. Die übliche Ursache ist ein fehlendes Intermediate: Ihr
Server sendet nur das Leaf-Zertifikat, Ihr Browser hat das Intermediate vor
Monaten zwischengespeichert und füllt die Lücke stillschweigend, und alle, deren
Browser das nicht getan hat — plus jedes curl, jeder API-Client, jede mobile
App — bekommen einen Verifizierungsfehler.
Deshalb meldet dieses Tool die Kette getrennt vom Ablaufdatum. Ein grünes Ablaufdatum mit ungültiger Kette ist genau jetzt ein laufender Ausfall für einen Teil Ihrer Besucher, und er zeigt sich nicht, wenn Sie die Website in dem Browser laden, den Sie die ganze Woche benutzt haben.
Port 443 als Standard. Sie können mit example.com:8443 einen anderen angeben,
und eine Handvoll Implicit-TLS-Ports wird unterstützt — 465 (SMTPS), 636
(LDAPS), 853 (DNS over TLS), 990 (FTPS), 993 (IMAPS), 995 (POP3S), 8443 und
9443.
STARTTLS-Ports wie 25, 143 und 587 werden nicht geprüft. Ein roher TLS-Handshake scheitert dort aus Protokollgründen, und das als „Ihr Zertifikat ist kaputt" zu melden wäre falsch.
Ja, und nein. Es gibt keine Anmeldung, kein E-Mail-Feld und keine Testphase. Der Endpunkt ist pro IP ratenbegrenzt, damit er verfügbar bleibt — das ist die einzige Beschränkung.
Nein. Die Prüfung ist zustandslos: Ihre Anfrage erzeugt eine TLS-Verbindung und eine JSON-Antwort, und nichts davon wird festgehalten. Da nichts gespeichert wird, gibt es keine Historie, die Sie durchsuchen könnten — und keine, die jemand von uns verlangen könnte.
Weil es von unserer Infrastruktur aus anwählt, was immer Sie angeben, löst es
nur öffentlich routbare Adressen auf und verbindet sich nur mit ihnen. Ein Name,
der auf 127.0.0.1, auf RFC-1918-Adressraum oder auf eine
Cloud-Metadaten-Adresse zeigt, wird abgelehnt, bevor irgendetwas angewählt wird.
Wenn Sie ein internes Zertifikat überwachen müssen, ist die Antwort ein Check,
der in Ihrem Netz läuft, kein öffentliches Tool.
Nein — geben Sie einen Domainnamen ein. SNI braucht einen Namen, Zertifikate werden auf Namen ausgestellt, und ein ohne Namen geprüftes Zertifikat sagt etwas über den virtuellen Host aus, der zufällig zuerst antwortet, statt über Ihre Website.
Ihr Browser hat einen Cache und einen Vertrauensspeicher, geformt von jeder Website, die Sie dieses Jahr besucht haben. Dieses Tool verbindet sich frisch, von einer Maschine, die Ihre Website nie gesehen hat — was viel näher an dem ist, was ein neuer Besucher oder ein API-Client erlebt.
Es bedeutet, dass Sie heute sicher sind. Zertifikate werden inzwischen für Wochen statt Jahre ausgestellt, und die Branche verkürzt weiter — das Intervall, in dem eine manuelle Prüfung beruhigend statt veraltet ist, schrumpft also stetig. Das ist ein Argument für etwas, das kontinuierlich prüft, nicht dafür, öfter von Hand zu prüfen.
Diese Seite sagt Ihnen den Zustand eines Zertifikats zu einem Zeitpunkt. Sie kann Ihnen nichts über die Verlängerung sagen, die nächsten Monat leise aufhört zu funktionieren — der Ausfall, der Websites tatsächlich lahmlegt.
Automatisiertes TLS-Monitoring beobachtet dieselben Dinge nach Zeitplan und warnt Sie 30, 14, 7 und 1 Tage vor Ablauf — vier Gelegenheiten, es zu merken, die erste, solange es noch ein Kalendereintrag statt eines Vorfalls ist. Es erwischt außerdem eine ungültige Kette an dem Tag, an dem sie auftritt, und beobachtet die Domain-Registrierung unter dem Zertifikat — die Verlängerungsmitteilung, die an ein Postfach ging, das jemandem gehört, der das Unternehmen verlassen hat.
Ausfälle werden von einer zweiten unabhängigen EU-Prüfregion bestätigt, bevor jemand alarmiert wird — ein Resolver-Schluckauf in einer Region bleibt so ein Resolver-Schluckauf. Alles läuft auf Scaleway mit Daten in Frankreich, und ein AVV liegt bereit, bevor Sie fragen.
Der kostenlose Tarif umfasst 5 Checks und läuft nicht ab.
So funktioniert TLS- und Domain-Monitoring → · Sicherheit & Daten →