Zertifikat- & PKI-Inspektor
X.509-Zertifikate und CSRs (PEM oder DER) direkt im Browser dekodieren. Prüfen Sie Subject, Aussteller, Gültigkeit, SAN, öffentlichen Schlüssel, Signatur und Erweiterungen sowie Kettenreihenfolge, Hostnamen-Abdeckung und CSR-Zertifikat-Übereinstimmung – ganz ohne Upload.
- PEM / DER / Ketten
- CSR ↔ Zertifikat
- Lokale Verarbeitung
- Kostenlos, ohne Anmeldung
Dateien und eingefügter Text werden nur in diesem Browser-Tab analysiert. Es wird nichts hochgeladen, und nach dem Schließen des Tabs bleibt nichts gespeichert.
Was dieses Tool prüft – und was nicht
Dieses Tool führt nur lokale strukturelle und kryptografische Prüfungen durch. Es fragt keine OCSP/CRL-Dienste ab und bewertet keine Vertrauensspeicher von Betriebssystem oder Browser.
Zertifikate oder CSRs hier ablegen
Dateien per Drag & Drop hinzufügen, vom Gerät auswählen oder unten PEM-Text einfügen.
Formate: .pem, .crt, .cer, .der, .csr – PEM-Bundles mit mehreren Zertifikaten werden unterstützt
Bis zu 32 Dateien, je 2 MB, insgesamt 8 MB.
Ablauf-Schwellenwerte
Legen Sie fest, wie viele Tage vor Ablauf ein Zertifikat markiert wird.
Über den Zertifikat- & PKI-Inspektor
Der Zertifikat- & PKI-Inspektor liest und prüft X.509-Zertifikate und PKCS#10-Zertifikatsanforderungen (CSR). Ziehen Sie .pem-, .crt-, .cer-, .der- oder .csr-Dateien hinein oder fügen Sie PEM-Text ein, um Subject, Aussteller, Gültigkeit, SAN, öffentlichen Schlüssel, Signaturalgorithmus, Erweiterungen und Fingerabdrücke zu sehen. Außerdem sortiert das Tool die bereitgestellte Kette, prüft Hostnamen und vergleicht einen CSR mit seinem Zertifikat.
Alles läuft im Browser-Tab: Es werden keine Dateien hochgeladen, und private Schlüssel werden abgelehnt. Es ist kein Online-SSL-Checker – das Tool verbindet sich nicht mit Ihrem Server und prüft nur die Dateien, die Sie ihm geben.
X.509-Zertifikate und CSRs
Ein X.509-Zertifikat verknüpft einen öffentlichen Schlüssel mit einer Identität (bei TLS meist Hostnamen) und ist von einem Aussteller, in der Regel einer Zertifizierungsstelle, signiert. Erweiterungen legen gültige Namen (SAN), erlaubte Verwendungszwecke und die CA-Eigenschaft fest.
Ein CSR enthält Ihren öffentlichen Schlüssel und die bei der CA beantragten Angaben. Laden Sie CSR und ausgestelltes Zertifikat, prüft die Vergleichsansicht den öffentlichen Schlüssel per SPKI-Fingerabdruck und listet Abweichungen bei Subject und SAN – vor dem Deployment.
SAN, Hostnamen und Ketten
Browser gleichen Hostnamen nur mit der SAN-Erweiterung ab; der Common Name (CN) spielt dafür keine Rolle mehr. Die Hostnamen-Prüfung zeigt, ob ein exakter DNS-Eintrag, eine Wildcard (*.example.com deckt genau eine Ebene ab) oder eine IP passt – ohne Verbindung zum Host.
Aus einem Fullchain-Bundle oder mehreren Dateien sortiert die Kettenansicht die Zertifikate vom Leaf zur Root, meldet fehlende Zwischenzertifikate oder falsche Reihenfolge und kann optional jede Signatur prüfen. Es werden nur Ihre Zertifikate verwendet.
Was geprüft wird – und was nicht
Lokal geprüft: Struktur, Gültigkeit anhand der Geräteuhr (mit einstellbaren Schwellen), SAN-Abdeckung, Verknüpfungen zwischen den bereitgestellten Zertifikaten, optionale Signaturprüfung und Schlüsselübereinstimmung zwischen CSR und Zertifikat.
Nicht geprüft: Vertrauen im Speicher von Betriebssystem oder Browser, Widerruf per OCSP/CRL, das tatsächlich von einem Live-Server ausgelieferte Zertifikat, CT-Logs und CA/Browser-Forum-Konformität. Die automatische Diagnose dient nur zur Orientierung.
Datenschutz und Export
Analyse, Hashes und Signaturprüfung laufen über die Web Crypto API des Browsers; nichts wird in localStorage oder IndexedDB gespeichert. Enthält die Eingabe einen PRIVATE-KEY-Block, wird er verworfen statt analysiert.
Exportieren Sie Berichte als JSON, CSV oder HTML, konvertieren Sie zwischen PEM und DER mit automatischer Prüfung und kopieren Sie passende openssl-x509-/req-/verify-Befehle, die nur als Text erzeugt werden.
Häufig gestellte Fragen
Werden meine Zertifikate oder CSRs auf einen Server hochgeladen?
Nein. Die gesamte Analyse findet im Browser-Tab statt; die Dateien verlassen Ihr Gerät nicht, und nach dem Schließen bleibt nichts gespeichert.
Kann ich damit das SSL-Zertifikat meiner Live-Website prüfen?
Nein. Es ist kein Online-SSL-Checker und verbindet sich mit keinem Server. Exportieren Sie das Zertifikat aus Server oder Browser und prüfen Sie diese Datei hier.
Zeigt das Tool, ob ein Zertifikat vertrauenswürdig oder widerrufen ist?
Nein. Vertrauensspeicher von Betriebssystem oder Browser werden nicht bewertet, OCSP/CRL nicht abgefragt. Das Tool bestätigt nur, dass die bereitgestellte Kette korrekt verknüpft ist und optional, dass ihre Signaturen gültig sind.
Was passiert, wenn ich versehentlich einen privaten Schlüssel einfüge?
Das Tool erkennt den PRIVATE-KEY-Block, verweigert die Verarbeitung und verwirft ihn; die abgelehnte Eingabe wird angezeigt. Falls der Schlüssel anderswo offengelegt wurde, sollten Sie ihn austauschen.
Warum schlägt das Zertifikat fehl, obwohl der CN stimmt?
Moderne Clients nutzen für den Hostnamen-Abgleich nur die SAN-Erweiterung. Prüfen Sie den SAN-Tab; fehlt der Name dort, muss das Zertifikat mit diesem SAN neu ausgestellt werden.