SSL-sertifikatkontroll
Sjekk SSL-sertifikatet for et hvilket som helst domene øyeblikkelig — se utløpsdato, utsteder, tillitsstatus og full kjede. Gratis, ingen innlogging.
Slik leser du SSL-sertifikatresultatene
Hvert felt i resultatsettet forteller deg noe forskjellig om sertifikatet. Her er hva hver enkelt informasjon betyr og hva du skal se etter.
Utsteder (CA-navn)
Organisasjonen som signerte og utstedte sertifikatet. Bør være en velkjent CA som Let's Encrypt, DigiCert, Sectigo eller GlobalSign. Hvis utstederen og emnet deler samme CN og O, er sertifikatet selvsignert – nettlesere vil vise en advarsel.
Alternative navn for emne
Listen over domener og underdomener dette sertifikatet er gyldig for. For produksjon, bekreft at både apex-domenet og www er til stede. En jokertegnoppføring (*.example.com) dekker alle underdomener på første nivå, men ikke apex- eller andrenivåunderdomener.
Utløpsdato og nedtelling
Datoen som sertifikatet ikke lenger er gyldig etter. Nedtellingslinjen endres fra grønn (>30 dager) til gul (8–30 dager) til rød (<7 dager). La oss kryptere sertifikater utløper hver 90. dag; kommersielle sertifikater varer vanligvis 1 år.
TLS-protokollversjon
TLS-versjonen serveren din forhandlet for denne tilkoblingen. TLS 1.3 er den gjeldende standarden – raskere og sikrere. TLS 1.2 er akseptabelt. TLS 1.0 og 1.1 er avviklet og bør deaktiveres. SSLv3 og SSLv2 er kritisk sårbare.
Serienummer
En unik identifikator tildelt av CA til dette spesifikke sertifikatet. Nyttig for sertifikatadministrasjon, OCSP-stifteoppslag og hendelsessporing når det finnes flere sertifikater for samme domene.
SHA-256 Fingeravtrykk
En kryptografisk hash av sertifikatets fullstendige innhold. To identiske fingeravtrykk betyr to identiske sertifikater. Sammenlign fingeravtrykk før og etter en sertifikatrotasjon for å bekrefte at oppdateringen ble brukt – eller for å oppdage uventet sertifikaterstatning.
Handlingsplan for sertifikatutløp
Utløp er den vanligste årsaken til SSL-brudd. Bruk denne tabellen for å vite hva du skal gjøre basert på hvor mange dager som gjenstår.
| Dager til utløp | Status | Anbefalt handling |
|---|---|---|
| > 30 dager | OK | Ingen handling nødvendig. Planlegg en påminnelse om fornyelse ved 30-dagers mark. |
| 8–30 dager | Advarsel | Start fornyelse nå. De fleste CA-er og automatiske fornyelsestjenester (Let's Encrypt, Certbot) fornyes etter 30 dager. |
| 1–7 dager | Haster | Forny umiddelbart. Et utløpt sertifikat forårsaker nettleserfeil og blokkerer all HTTPS-trafikk. |
| 0 eller negativ | Utløpt | Sertifikatet er utløpt. Erstatt den umiddelbart - nettstedet ditt viser sikkerhetsfeil til alle besøkende. |
Vanlige SSL-feil i Chrome, Firefox og Safari — årsaker og løsninger
Dette er de hyppigste SSL-feilene som er sett i nettlesere og hva hver enkelt betyr. Identifiser årsaken med dette verktøyet, og bruk deretter den målrettede løsningen.
Sertifikatets valid_to-dato er i fortiden. Sertifikatet har utløpt og må fornyes før nettlesere kan stole på tilkoblingen.
Forny sertifikatet via din CA eller hostingleverandør. Bekreft at automatisk fornyelse er riktig konfigurert — de fleste CA-er fornyer automatisk innen 30 dager før utløp.
Domenet i nettleserens adresselinje er ikke oppført i sertifikatets CN- eller SAN-felt. Dette skjer etter en domenemigrering, underdomenemismatch eller et sertifikat utstedt for feil domene.
Gi sertifikatet på nytt, inkludert riktig domene. Sjekk at både apex-domenet (example.com) og www-underdomenet (www.example.com) er i SAN-listen.
Sertifikatet ble utstedt av en CA som ikke er i nettleserens eller OSs trust-lager. Dette inkluderer selvsignerte sertifikater, internt utstedte sertifikater eller sertifikater der den mellomliggende CA mangler i kjeden.
Installer et sertifikat fra en offentlig klarert CA. Hvis du bruker en intern CA, installer rotsertifikatet i klientens klareringslager. Sørg for at serveren sender hele mellomkjeden.
Sertifikatet er eksplisitt tilbakekalt av den utstedende CA - vanligvis fordi den private nøkkelen ble kompromittert, domenet endret eierskap eller sertifikatet ble utstedt ved en feil.
Skaff et nytt sertifikat umiddelbart. Hvis du ikke tilbakekalte den, kan den private nøkkelen din bli kompromittert – roter nøkkelen, utsted sertifikatet på nytt og undersøk eksponeringen.
Serveren sender et HTTP-svar på en HTTPS-port, eller en proxy returnerer en HTTP-feil før TLS-håndtrykket fullføres. Port 443 mottar klartekst i stedet for TLS.
Bekreft at serveren er konfigurert til å betjene TLS på porten som er koblet til. Sjekk belastningsbalanser og proxy-konfigurasjoner – sørg for at SSL-avslutning er riktig konfigurert.
Klienten og serveren kan ikke bli enige om en TLS-protokollversjon eller kryptopakke. Utløses ofte når serveren bare støtter TLS 1.0/1.1 (avviklet i Chrome 84+, Firefox 74+, Safari 14+), eller bruker kryptopakker fjernet fra moderne nettlesere.
Aktiver TLS 1.2 og TLS 1.3 på serveren og deaktiver TLS 1.0 og TLS 1.1. Oppdater serverens kryptopakkeliste for å fjerne RC4, 3DES og eksportklasse-kryptere. Bruk Mozillas TLS-konfigurasjons-generator for klare Nginx- og Apache-konfigurasjoner.
Slik sjekker du et SSL-sertifikat (3 trinn)
Skriv inn et domene
Skriv inn et hvilket som helst domenenavn – for eksempel github.com eller api.example.com – i inndatafeltet. Verktøyet fjerner alle https://-prefikser automatisk. Du kan også angi en egendefinert port hvis HTTPS-tjenesten ikke kjører på standardport 443.
Inspiser sertifikatet
På noen sekunder ser du hele sertifikatet: utløpsdato og nedtelling, utstederkjede, tillitsstatus, protokollversjon (TLS 1.2 eller 1.3), chifferpakke, SANs og SHA-256-fingeravtrykk. Ingen data lagres.
Les resultatene
Hvis sertifikatet er utløpt, selvsignert eller det er et vertsnavn-mismatch, markerer resultatet problemet tydelig. Utløpslinjen blir gul innen 30 dager og rød innen 7 dager. Kopier alle detaljer med ett klikk.
Hva forteller et SSL-sertifikat deg?
Et SSL/TLS-sertifikat er en digital legitimasjon som autentiserer et nettsteds identitet og muliggjør en kryptert tilkobling. Når du besøker et nettsted over HTTPS, verifiserer nettleseren din nettstedets sertifikat – utstedt av en pålitelig sertifiseringsinstans (CA) – før den krypterte kanalen etableres. Uten et gyldig sertifikat viser nettlesere sikkerhetsadvarsler og blokkerer tilgang, noe som direkte påvirker brukertillit og søkerangeringer.
Hvert SSL-sertifikat inneholder 3 viktige informasjonsstykker:
- •Emne — domenenavnet (og organisasjonen for OV/EV) sertifikatet er utstedt til
- •Utsteder — Sertifiseringsinstansen (CA) som signerte og verifiserte sertifikatet
- •Gyldighetsperiode — de nøyaktige start- og sluttdatoene som sertifikatet er klarert i
Hva dette verktøyet IKKE sjekker
Dette verktøyet utfører et live TLS-håndtrykk og leser sertifikatet. Det gjør ikke:
- Vurderer chifferpakkens styrke (A–F) — bruk SSL Labs for en fullstendig TLS-revisjon
- Sjekker HSTS-header eller forhåndsinnlastningslistestatus
- Tester OCSP stapling-konfigurasjon
- Oppdager sertifikatfesting (HPKP)
- Verifiserer HTTP-til-HTTPS-omdirigerigsatferd
SSL-sertifikattyper
Ulike sertifikattyper tilbyr ulike nivåer av identitetsverifisering. Typen bestemmer hva utstederen sjekket før signering - ikke krypteringsstyrken.
CA verifiserer bare at søkeren kontrollerer domenet – ingen bedriftsidentitet kontrolleres. Utstedt på få minutter via automatisert DNS- eller HTTP-utfordring. Egnet for blogger, personlige nettsteder og interne verktøy. Emnet vil kun vise CN (domenenavn), uten O (organisasjon)-felt.
CA verifiserer domenekontroll pluss den juridiske eksistensen til organisasjonen. Tar 1–3 virkedager. Sertifikatet viser firmanavnet i O-feltet – besøkende kan inspisere sertifikatet og se hvem som eier det. Anbefalt for bedriftsnettsteder og APIer.
Den mest strenge valideringen - CA verifiserer domene, organisasjon, fysisk adresse, juridisk status og operativ eksistens. Tidligere utløst den grønne adresselinjen i nettlesere. Viser nå firmanavnet i sertifikatdetaljer. Kreves av finansinstitusjoner og e-handelsplattformer som håndterer betalingsdata.
Dekker et rotdomene og alle underdomener på første nivå som bruker et *.example.com-mønster i CN eller SAN. Et enkelt jokertegnsertifikat sikrer www.example.com, api.example.com, cdn.example.com og mer. Dekker ikke underdomener på andre nivå som dev.api.example.com – de trenger et eget sertifikat.
Et enkelt sertifikat kan dekke flere forskjellige domener via utvidelsen Subject Alternative Names. Felles for hosting av flere produkter under ett sertifikat — f.eks. example.com, example.io og app.example.net. De fleste moderne sertifikater bruker SAN selv for enkeltdomener, med CN speilet i SAN-listen.
Når skal du sjekke et SSL-sertifikat
Før distribusjon
Bekreft at sertifikatet dekker det eksakte domenet som distribueres. Bekreft at utstederen er en klarert CA (ikke selvsignert), SAN-ene inkluderer www- og apex-variantene, og protokollen er TLS 1.2 eller høyere før du peker DNS til produksjon.
Overvåking av sertifikatfornyelse
Sjekk utløpsdatoer proaktivt. La oss kryptere sertifikater utløper hver 90. dag – en tapt automatisk fornyelse fører til strømbrudd. Kommersielle sertifikater varer vanligvis 1 år. Bokmerk dette verktøyet og sjekk månedlig for alt under 30 dager.
Sikkerhetsrevisjon
Identifiser servere som fortsatt bruker TLS 1.0 eller 1.1, svake chiffersuiter eller selvsignerte sertifikater. Krysssjekk SHA-256-fingeravtrykket mot forventet verdi etter en sertifikatrotasjon for å bekrefte at ingen MITM-erstatning har skjedd.
Etter domenemigrering
Etter å ha flyttet et domene til en ny vert eller CDN, kontroller at det nye sertifikatet dekker domenet, at utstederen er riktig, og at SAN-ene samsvarer med det forventede settet. Et sertifikat som er igjen på den gamle serveren og ikke klargjort på den nye, forårsaker nettleserfeil selv når DNS er riktig.