SSL/TLS-Inspektor
Prüft Zertifikat, Aussteller-Kette, Gültigkeit, SAN, Cipher und HSTS — direkt vom XICTRAQ-Node.
So funktioniert dieses Tool
Der SSL/TLS-Inspektor baut eine echte TLS-Verbindung zur Domain auf und liest das gesamte Zertifikat aus: Common Name, Subject Alternative Names (SAN), Aussteller-Kette, Gültigkeit, Schlüssel-Typ und -Länge, Signatur-Algorithmus, ausgehandelte TLS-Version sowie die genutzte Cipher-Suite. Zusätzlich prüft er den HSTS-Header (Strict-Transport-Security) und warnt 30 Tage vor Ablauf des Zertifikats. Im Gegensatz zu rein DNS-basierten Checks sehen Sie die tatsächliche TLS-Realität — nicht nur, was im DNS steht.
Typische Anwendungsfälle
- Vor einem Zertifikats-Renewal die genauen Ablauftage und SAN-Liste verifizieren
- Nach Renew prüfen, dass das neue Zertifikat tatsächlich ausgespielt wird (Cache-Falle vermeiden)
- TLS-Versionen kontrollieren — TLS 1.0/1.1 sind heute Pflichtfehler, TLS 1.2 Minimum, TLS 1.3 Standard
- Bei Mixed-Content-Warnungen die SAN-Liste prüfen ob Sub-Domains mit abgedeckt sind
- Bei Wildcard-Zertifikaten kontrollieren ob *.example.com die Domain wirklich matcht
Häufige Fragen
Was bedeutet "hostname does not match"?
Das Zertifikat ist gültig, deckt aber den abgefragten Hostnamen nicht in CN oder SAN ab. Browser zeigen dann eine NET::ERR_CERT_COMMON_NAME_INVALID-Warnung. Ursache ist meist eine fehlende SAN.
Wieso ist HSTS so wichtig?
HSTS zwingt den Browser, die Domain ein Jahr lang ausschließlich über HTTPS aufzurufen — auch wenn der User http:// eintippt. Ohne HSTS bleibt das initiale HTTP-Request anfällig für SSL-Stripping.
Welche TLS-Versionen sind heute akzeptabel?
TLS 1.2 ist absolutes Minimum (PCI-DSS, BSI), TLS 1.3 ist State-of-the-Art und sollte aktiv sein. TLS 1.0 und 1.1 dürfen seit 2020 nicht mehr genutzt werden.
Was ist ein OCSP-Stapling und prüft das Tool es?
OCSP-Stapling lässt den Server selbst den aktuellen Sperr-Status mitliefern, statt dass der Browser die CA fragen muss. Wir prüfen es jetzt direkt: per `openssl s_client -status` und zeigen aktiv/inaktiv im Ergebnis.
Warum schlägt der Check für interne Domains fehl?
Wir prüfen nur öffentliche, im DNS auflösbare Hosts. Interne Domains (intranet.firma.local) erreichen wir vom Server aus nicht.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.