Zertifikatsdiagnose
PEM-Zertifikate in beliebiger Reihenfolge einfügen. Nach der ersten Prüfung können Sie Zielzertifikat und CA-Vertrauensanker auswählen.
Lokale Verarbeitung. Kein Upload und keine AIA-, OCSP- oder CRL-Anfragen.
Fügen Sie PEM-Zertifikate ein.
Ein erster Lauf füllt die Listen. Wählen Sie eine CA nur bewusst als Anker dieses Laufs und prüfen Sie erneut.
Bis zu 20 PEM-Zertifikate, 256 KiB Eingabe und 64 Pfadergebnisse.
Fügen Sie PEM-Zertifikate ein.
Zertifikatskette prüfen hilft, wenn ein Import trotz scheinbar vollständigem Bündel scheitert. Ein passender Ausstellername ist zunächst nur ein Kandidat. Erst die Signaturprüfung zeigt, ob der zugehörige öffentliche Schlüssel das Zertifikat bestätigt. Prüfen Sie diese Verbindungen, bevor Sie eine Konfiguration ersetzen; die Vertrauenseinstellungen des Empfängers bleiben eine eigene Frage.
Zertifikatskette prüfen bedeutet hier, jeden passenden Aussteller mit einer echten Signaturprüfung zu testen. Zwei Zertifikate können denselben Namen und unterschiedliche Schlüssel besitzen. Der Bericht trennt gescheiterte Kandidaten von bestätigten Verbindungen, statt allein aus Namen eine plausibel aussehende Kette zu zeichnen.
Der Pfad führt vom gewählten Ziel zum Aussteller. Eine gültige Selbstsignatur schließt die Struktur, macht deren Ende aber nicht automatisch vertrauenswürdig. Nur eine ausdrücklich ausgewählte CA dient für diesen Lauf als Vertrauensanker; anfangs ist keiner gesetzt.
Übernehmen Sie jeweils BEGIN CERTIFICATE bis END CERTIFICATE und vorhandene Zwischenzertifikate. Private Schlüssel, CSRs und Text außerhalb der Blöcke werden abgelehnt. Die ursprünglichen Nummern bleiben erhalten, sodass die vorgeschlagene Reihenfolge mit dem Eingabebündel vergleichbar ist.
Die Auswahl wird aus den eingelesenen Zertifikaten aufgebaut. Sind mehrere Endzertifikate vorhanden, wählen Sie das gewünschte Ziel und starten erneut. Ein Anker ist optional und kann nur eine CA aus derselben Eingabe sein; die Auswahl verändert die Vertrauensannahme dieses Laufs.
Ein fehlender Aussteller kann ein Zwischenzertifikat oder eine bewusst weggelassene Wurzel sein. JSON speichert die Diagnose. Ein sortiertes PEM-Bündel gibt es nur für einen vollständigen, eindeutigen Pfad mit allen Eingabezertifikaten und ohne gemeldete Mängel. Jede Änderung erfordert eine neue Prüfung.
Für jeden namensgleichen Kandidaten wird dessen öffentlicher Schlüssel verwendet. Bestätigt, fehlgeschlagen und nicht unterstützt bleiben unterschiedliche Ergebnisse. Das gilt auch für Selbstsignaturen; ein unbekannter Algorithmus wird niemals durch einen bloßen Namensvergleich als erfolgreich behandelt.
Der Bericht enthält Subjekt, Aussteller, Seriennummer, SHA-256-Fingerabdruck und Gültigkeitsintervall in UTC. Dubletten werden anhand der gesamten kodierten Zertifikate erkannt. Ein gleicher Subjektname reicht dafür nicht, etwa bei erneuerten oder kreuzsignierten CA-Zertifikaten.
Geprüft werden abgelaufene und noch nicht gültige Zertifikate, fehlende Aussteller, CA-Kennzeichnung, Schlüsselverwendung zum Signieren und Pfadlängen. Doppelte Erweiterungen und nicht verarbeitete kritische Erweiterungen erscheinen als Diagnose, ohne eine vollständige PKIX-Prüfung vorzutäuschen.
Die Eingabe bleibt unverändert. JSON enthält alle Zertifikate, Kandidatenverbindungen, Pfadenden und Hinweise sowie ausdrückliche Angaben zu nicht geprüfter Sperrung und Systemvertrauen. Der Zertifikatsketten-Validator liefert dadurch eine nachvollziehbare lokale Diagnose für die weitere Fehlersuche.
Nein. Die Analyse akzeptiert eine beliebige Eingabereihenfolge und behält die Originalnummern bei. Eine Exportreihenfolge wird nur angeboten, wenn genau ein vollständiger, mängelfreier Pfad sämtliche Zertifikate verwendet. Das PEM enthält auch eine mitgelieferte Wurzel; prüfen Sie vor der Bereitstellung, was Ihr Zielsystem erwartet.
Hier gehören Namenszuordnung, tatsächliche Signaturen, Zeitintervalle und die genannten grundlegenden CA-Regeln dazu. Eine vollständige Validierung umfasst zusätzliche Regeln, etwa Richtlinien und Namensbeschränkungen. Diese Seite bezeichnet ihr Ergebnis daher ausdrücklich als Struktur- und Signaturdiagnose.
Nein. Ohne gewählten Anker wird selbst einer vollständigen selbstsignierten Kette kein Vertrauen zugewiesen. Auch das Erreichen einer ausgewählten CA sagt nichts darüber aus, ob diese CA im Browser vorhanden ist oder ob dessen übrige Anforderungen erfüllt sind.
Nein. Sperrungen werden über aktuelle OCSP- oder CRL-Informationen beurteilt und können sich nach Ausstellung ändern. Der Bericht hält ausdrücklich fest, dass dieser Schritt nicht durchgeführt wurde. Eine weiterhin passende Signatur widerlegt keine Sperrung.
Die eingegebenen Zertifikate werden lokal im Browser verarbeitet. Es gibt keinen Zertifikatsupload und keine automatische Anfrage an Ausstellerdienste. Zum Prüfen einer Serverinstallation müssen Sie das Material selbst beschaffen; das Werkzeug stellt keine Verbindung zum angegebenen Zertifikatshost her.
Fehlt ein Fall für die Zertifikatskette?
Zertifikatskette prüfen können Sie erneut, sobald die fehlenden Aussteller ergänzt oder die Ankereinstellungen geändert sind. Vergleichen Sie den neuen Pfad mit dem Bericht, bevor Sie eine vorhandene Konfiguration ersetzen.