Hashes/Krypto
X.509 / SSL Certificate Decoder
Ein PEM-Zertifikat parsen (X.509/ASN.1 DER) — Subjekt, Aussteller, Gültigkeit, öffentlicher Schlüssel, Erweiterungen und Fingerabdrücke.
Ein SSL/TLS-Zertifikat im PEM-Format ist im Grunde die Textdarstellung einer binären ASN.1-DER-Struktur, ohne Dekodierung unlesbar. Dieses Tool zerlegt ein Zertifikat in verständliche Felder: Subjekt, Aussteller, Gültigkeitsdauer, öffentlichen Schlüssel und Fingerabdrücke.
So verwendest du es
- Füge ein Zertifikat im PEM-Format ein (beginnend mit -----BEGIN CERTIFICATE-----) — es wird sofort geparst.
- Das Ergebnis zeigt das Subjekt (für wen ausgestellt), den Aussteller (CA), die Gültigkeitsdauer, Algorithmus und Größe des öffentlichen Schlüssels, Erweiterungen (SAN, Key Usage) und Fingerabdrücke (SHA-1, SHA-256).
- Die Liste der Subject Alternative Names (SAN) zeigt alle Domains, für die das Zertifikat gültig ist.
Typische Anwendungsfälle
- Schnell das Ablaufdatum und die abgedeckten Domains eines Zertifikats prüfen, ohne openssl im Terminal zu bemühen.
- HTTPS-Probleme debuggen, indem Aussteller, Vertrauenskette oder Signaturalgorithmus eines Zertifikats geprüft werden.
- Den Fingerabdruck eines Zertifikats mit einem erwarteten Wert vergleichen, um die Echtheit zu prüfen.
Was du wissen solltest
Das Parsen eines Zertifikats zeigt nur seinen Inhalt — es prüft weder die Vertrauenskette bis zu einer Root-CA noch den Widerrufsstatus (CRL/OCSP); dafür braucht es separate Prüfungen.
Moderne Zertifikate haben kurze Gültigkeitsdauern (90 Tage bei Let's Encrypt), gerade um das Risiko durch einen kompromittierten Schlüssel zu verringern — das ist erwartete Praxis, kein Anzeichen für ein Problem.
Artikel zu diesem Tool: X.509: was in einem SSL-Zertifikat steckt
Häufig gestellte Fragen
Welche Informationen enthält ein X.509-Zertifikat tatsächlich?
Es bündelt einen öffentlichen Schlüssel mit Identitätsdetails (Subjekt, Aussteller, Gültigkeitsdaten) und einer digitalen Signatur einer Zertifizierungsstelle (oder einer eigenen, wenn selbstsigniert), sodass andere überprüfen können, wem der Schlüssel gehört und dass er nicht manipuliert wurde.
Was ist der Unterschied zwischen der Zertifikatskette und dem Blattzertifikat?
Das Blattzertifikat identifiziert den tatsächlichen Server oder die Entität, während die Kette ein oder mehrere Zwischenzertifikate enthält, die es mit einer vertrauenswürdigen Root-CA verbinden — ein Browser benötigt die vollständige Kette, um Vertrauen herzustellen, nicht nur das Blatt.
Wird ein hier dekodiertes Zertifikat irgendwohin hochgeladen?
Nein. Das Parsen und Dekodieren erfolgt vollständig in Ihrem Browser — der Zertifikatsinhalt verlässt Ihr Gerät nie.
Wann ist ein selbstsigniertes Zertifikat in Ordnung?
Für interne Tests, Entwicklung oder geschlossene Netzwerke, wo öffentliches Vertrauen der Browser nicht nötig ist. Für eine öffentliche Website markieren Browser ein selbstsigniertes Zertifikat als nicht vertrauenswürdig, da die Kette zu keiner Root-CA führt.
Warum ist die Gültigkeitsdauer von Zertifikaten begrenzt?
Eine begrenzte Gültigkeitsdauer (üblicherweise 90 Tage bis 1 Jahr bei modernen Zertifikaten) verringert die Risiken durch einen kompromittierten privaten Schlüssel und erzwingt eine regelmäßige Aktualisierung kryptografischer Parameter gemäß aktuellen Sicherheitsstandards.