SSL-certifikattjek
Tjek straks SSL-certifikatet for et vilkårligt domæne, og se udløbsdato, udsteder, tillidsstatus og hele certifikatkæden. Gratis og uden login.
Sådan læser du resultaterne af dit SSL-certifikat
Hvert felt i resultatet fortæller noget forskelligt om certifikatet. Her er betydningen af hver oplysning, og hvad du skal holde øje med.
Udsteder (CA-navn)
Det er organisationen, som har underskrevet og udstedt certifikatet. Det bør være en velkendt CA som Let's Encrypt, DigiCert, Sectigo eller GlobalSign. Hvis udsteder og subjekt deler samme CN og O, er certifikatet selvsigneret, og browsere vil vise en advarsel.
Subject Alternative Names
Det er listen over domæner og underdomæner, som certifikatet er gyldigt for. I produktion bør både apex-domænet og www være til stede. En wildcard-post (*.example.com) dækker alle underdomæner på første niveau, men ikke apex eller underdomæner på andet niveau.
Udløbsdato og nedtælling
Det er datoen, hvorefter certifikatet ikke længere er gyldigt. Indikatoren skifter fra grøn (>30 dage) til gul (8–30 dage) og derefter til rød (<7 dage). Let's Encrypt-certifikater udløber hver 90. dag, mens kommercielle certifikater typisk gælder i 1 år.
TLS-protokolversion
Det er den TLS-version, som serveren forhandlede til forbindelsen. TLS 1.3 er den aktuelle standard — hurtigere og mere sikker. TLS 1.2 er acceptabel. TLS 1.0 og 1.1 er udfaset og bør deaktiveres, mens SSLv3 og SSLv2 er kritisk sårbare.
Serienummer
Det er en unik identifikator, som CA'en har tildelt dette specifikke certifikat. Den er nyttig til certifikatstyring, OCSP-stapling-opslag og hændelsessporing, når der findes flere certifikater for samme domæne.
SHA-256-fingeraftryk
Det er en kryptografisk hash af certifikatets fulde indhold. To identiske fingeraftryk betyder to identiske certifikater. Sammenlign fingeraftrykket før og efter en certifikatrotation for at bekræfte, at opdateringen er slået igennem — eller for at opdage uventet udskiftning af certifikatet.
Handlingsplan ved certifikatudløb
Udløb er den mest almindelige årsag til SSL-nedbrud. Brug tabellen til at se, hvad du bør gøre, afhængigt af hvor mange dage der er tilbage.
| Dage til udløb | Status | Anbefalet handling |
|---|---|---|
| > 30 dage | OK | Ingen handling nødvendig. Planlæg en påmindelse om fornyelse ved 30-dages-mærket. |
| 8–30 dage | Advarsel | Start fornyelsen nu. De fleste CA'er og tjenester til automatisk fornyelse (Let's Encrypt, Certbot) fornyer ved 30 resterende dage. |
| 1–7 dage | Haster | Forny straks. Et udløbet certifikat giver browserfejl og blokerer al HTTPS-trafik. |
| 0 eller mindre | Udløbet | Certifikatet er udløbet. Udskift det med det samme — dit website viser sikkerhedsfejl til alle besøgende. |
Almindelige SSL-fejl i Chrome, Firefox og Safari — årsager og løsninger
Her er de mest almindelige SSL-fejl i browsere og betydningen af hver enkelt. Find årsagen med dette værktøj, og brug derefter den rigtige løsning.
Certifikatets valid_to-dato ligger i fortiden. Certifikatet er udløbet og skal fornyes, før browsere igen vil stole på forbindelsen.
Forny certifikatet via din CA eller hostingudbyder. Bekræft, at automatisk fornyelse er sat korrekt op — de fleste CA'er fornyer automatisk inden for de sidste 30 dage før udløb.
Domænet i browserens adresselinje står ikke i certifikatets CN- eller SAN-felter. Det sker efter domænemigrering, ved mismatch på underdomæner eller hvis certifikatet er udstedt til det forkerte domæne.
Genudsted certifikatet med det korrekte domæne. Tjek, at både apex-domænet (example.com) og www-underdomænet (www.example.com) står i SAN-listen.
Certifikatet er udstedt af en CA, som ikke findes i browserens eller operativsystemets tillidslager. Det omfatter selvsignerede certifikater, internt udstedte certifikater eller certifikater, hvor den intermediate CA mangler i kæden.
Installer et certifikat fra en offentligt betroet CA. Hvis du bruger en intern CA, skal du installere rootcertifikatet i klientens tillidslager. Sørg også for, at serveren sender hele intermediate-kæden.
Certifikatet er udtrykkeligt tilbagekaldt af den udstedende CA — typisk fordi den private nøgle er blevet kompromitteret, domænet har skiftet ejer, eller certifikatet er udstedt ved en fejl.
Skaff et nyt certifikat med det samme. Hvis du ikke selv tilbagekaldte det, kan den private nøgle være kompromitteret — udskift nøglen, genudsted certifikatet, og undersøg hændelsen.
Serveren sender et HTTP-svar på en HTTPS-port, eller en proxy returnerer en HTTP-fejl, før TLS-handshaket er færdigt. Port 443 modtager almindelig tekst i stedet for TLS.
Bekræft, at serveren er konfigureret til at levere TLS på den port, du forbinder til. Tjek load balancer- og proxykonfigurationerne, og sørg for, at SSL-terminering er sat korrekt op.
Klient og server kan ikke blive enige om en TLS-protokolversion eller cipher suite. Det sker ofte, når serveren kun understøtter TLS 1.0/1.1 (udfaset i Chrome 84+, Firefox 74+, Safari 14+) eller bruger cipher suites, som er fjernet fra moderne browsere.
Aktivér TLS 1.2 og TLS 1.3 på serveren, og deaktivér TLS 1.0 og TLS 1.1. Opdatér listen over cipher suites, så RC4, 3DES og export-grade-suiter fjernes. Brug Mozillas generator til TLS-konfigurationer for færdige Nginx- og Apache-indstillinger.
Sådan tjekker du et SSL-certifikat i 3 trin
Indtast et domæne
Indtast et vilkårligt domænenavn — f.eks. github.com eller api.example.com — i feltet. Værktøjet fjerner automatisk et eventuelt https://-præfiks. Du kan også angive en brugerdefineret port, hvis HTTPS-tjenesten ikke kører på standardport 443.
Læs certifikatet
På få sekunder ser du det fulde certifikat: udløbsdato og nedtælling, udstederkæde, tillidsstatus, protokolversion (TLS 1.2 eller 1.3), cipher suite, SAN'er og SHA-256-fingeraftryk. Ingen data gemmes.
Læs resultaterne
Hvis certifikatet er udløbet, selvsigneret eller har et værtsnavn-mismatch, markeres problemet tydeligt i resultatet. Udløbsindikatoren bliver gul ved mindre end 30 dage og rød ved mindre end 7 dage. Du kan kopiere alle detaljer med ét klik.
Hvad fortæller et SSL-certifikat?
Et SSL/TLS-certifikat er en digital legitimation, der bekræfter et websites identitet og gør det muligt at oprette en krypteret forbindelse. Når du besøger et website via HTTPS, verificerer browseren sitets certifikat — udstedt af en betroet certifikatmyndighed (CA) — før den krypterede kanal etableres. Uden et gyldigt certifikat viser browsere sikkerhedsadvarsler og kan blokere adgang, hvilket direkte påvirker brugertillid og placeringer i søgemaskiner.
Hvert SSL-certifikat indeholder 3 centrale oplysninger:
- •Subjekt — domænenavnet (og organisationen for OV/EV), som certifikatet er udstedt til
- •Udsteder — certifikatmyndigheden (CA), der har underskrevet og verificeret certifikatet
- •Gyldighedsperiode — de præcise start- og slutdatoer, hvor certifikatet er betroet
Hvad dette værktøj ikke kontrollerer
Værktøjet udfører et live TLS-handshake og læser certifikatet. Det gør ikke følgende:
- Vurderer styrken af cipher suites (A–F) — brug SSL Labs til et fuldt TLS-audit
- Kontrollerer HSTS-headeren eller preload-listestatus
- Tester konfigurationen af OCSP stapling
- Detekterer certificate pinning (HPKP)
- Verificerer HTTP-til-HTTPS-redirects
Typer af SSL-certifikater
Forskellige certifikattyper giver forskellige niveauer af identitetsvalidering. Typen afgør, hvad udstederen har kontrolleret før signering — ikke hvor stærk krypteringen er.
CA'en verificerer kun, at ansøgeren kontrollerer domænet — der foretages ingen kontrol af virksomhedsidentitet. Certifikatet udstedes på få minutter via automatiseret DNS- eller HTTP-challenge. Det er velegnet til blogs, personlige websites og interne værktøjer. I subjektet vises normalt kun CN (domænenavnet) uden feltet O (organisation).
CA'en verificerer både domænekontrol og organisationens juridiske eksistens. Det tager normalt 1–3 hverdage. Certifikatet viser firmanavnet i O-feltet, så besøgende kan se, hvem der står bag. Det anbefales til virksomhedswebsites og API'er.
Dette er den mest omfattende validering — CA'en kontrollerer domæne, organisation, fysisk adresse, juridisk status og operationel eksistens. Tidligere gav disse certifikater en grøn adresselinje i browsere. I dag vises firmanavnet i certifikatdetaljerne. De bruges ofte af finansielle institutioner og e-handelsplatforme, der håndterer betalingsdata.
Det dækker et roddomæne og alle underdomæner på første niveau via et *.example.com-mønster i CN eller SAN. Ét wildcardcertifikat kan beskytte www.example.com, api.example.com, cdn.example.com og flere andre. Det dækker ikke underdomæner på andet niveau som dev.api.example.com — de kræver et separat certifikat.
Ét certifikat kan dække flere forskellige domæner via udvidelsen Subject Alternative Names. Det bruges ofte, når flere produkter hostes under samme certifikat — f.eks. example.com, example.io og app.example.net. De fleste moderne certifikater bruger SAN'er selv til ét enkelt domæne, hvor CN spejles i SAN-listen.
Hvornår du bør tjekke et SSL-certifikat
Før deployment
Bekræft, at certifikatet dækker præcis det domæne, der skal i drift. Tjek, at udstederen er en betroet CA og ikke selvsigneret, at SAN'erne omfatter både www- og apex-varianten, og at der bruges TLS 1.2 eller nyere, før DNS peger mod produktion.
Overvågning af certifikatfornyelse
Følg udløbsdatoer proaktivt. Let's Encrypt-certifikater udløber hver 90. dag, og en misset automatisk fornyelse giver nedetid. Kommercielle certifikater gælder typisk i 1 år. Gem værktøjet som bogmærke, og tjek hver måned alt, der har under 30 dage tilbage.
Sikkerhedsrevision
Find servere, der stadig bruger TLS 1.0 eller 1.1, svage cipher suites eller selvsignerede certifikater. Sammenlign SHA-256-fingeraftrykket med den forventede værdi efter en certifikatrotation for at bekræfte, at der ikke er sket MITM-substitution.
Efter domænemigrering
Efter at have flyttet et domæne til en ny host eller CDN skal du kontrollere, at det nye certifikat dækker domænet, at udstederen er korrekt, og at SAN'erne matcher det forventede sæt. Et certifikat, der bliver liggende på den gamle server og ikke klargøres på den nye, giver browserfejl, selv når DNS er korrekt.
Ofte stillede spørgsmål
Relaterede værktøjer
Porttjek
Tjek, om port 443 er åben og accepterer forbindelser, før du verificerer certifikatet.
DNS-opslag
Bekræft, at DNS A-records peger på den rigtige server efter certifikatdeployment eller domænemigrering.
Portinfo
Slå standardporte op og få overblik over, hvilke tjenester der kører på hvilke porte.