Kontroll av SSL/TLS-certifikat
Kontrollera valfri domäns SSL/TLS-certifikat direkt: utgångsdatum, utfärdare, förtroendestatus och hela kedjan. Gratis, utan inloggning.
Så tolkar du resultatet från SSL-kontrollen
Varje fält i resultatet beskriver en egen del av certifikatet. Här är vad uppgifterna betyder och vad du bör titta efter.
Utfärdare (CA-namn)
Organisationen som signerade och utfärdade certifikatet. Det bör vara en välkänd CA, som Let's Encrypt, DigiCert, Sectigo eller GlobalSign. Om issuer och subject har samma CN och O är certifikatet självsignerat, och webbläsaren kommer att varna.
Subject Alternative Names
Listan över domäner och underdomäner som certifikatet gäller för. I produktion bör både apex-domänen och www finnas med. En wildcard-post (*.example.com) täcker alla underdomäner på första nivån, men inte apex-domänen eller underdomäner på andra nivån.
Utgångsdatum och nedräkning
Datumet efter vilket certifikatet inte längre är giltigt. Indikatorn går från grön (>30 dagar) till gul (8–30 dagar) och röd (<7 dagar). Let's Encrypt-certifikat löper ut var 90:e dag, medan kommersiella certifikat normalt gäller i 1 år.
TLS-version
Den TLS-version som servern förhandlade fram för anslutningen. TLS 1.3 är dagens standard: snabbare och säkrare. TLS 1.2 är en acceptabel lägstanivå. TLS 1.0 och 1.1 är föråldrade och bör vara avstängda, medan SSLv3 och SSLv2 är kritiskt sårbara.
Serienummer
En unik identifierare som CA:n tilldelar just detta certifikat. Den är användbar för certifikatinventering, OCSP-uppslag och incidenthantering när flera certifikat finns för samma domän.
SHA-256-fingeravtryck
En kryptografisk hash av hela certifikatets innehåll. Två identiska fingeravtryck betyder två identiska certifikat. Jämför fingeravtrycket före och efter en certifikatrotation för att bekräfta att uppdateringen verkligen har slagit igenom eller för att upptäcka oväntad certifikatsubstitution.
Åtgärdsplan för certifikat som håller på att gå ut
Utgångsdatum är den vanligaste orsaken till SSL-avbrott. Tabellen hjälper dig att se vilken åtgärd som behövs utifrån hur många dagar som återstår.
| Dagar kvar till utgång | Status | Rekommenderad åtgärd |
|---|---|---|
| > 30 dagar | OK | Ingen åtgärd behövs. Lägg in en påminnelse om förnyelse vid 30-dagarsgränsen. |
| 8–30 dagar | Varning | Starta förnyelsen nu. De flesta CA:er och automatiska förnyelsetjänster (Let's Encrypt, Certbot) förnyar vid 30 dagar. |
| 1–7 dagar | Brådskande | Förnya omedelbart. Ett utgånget certifikat orsakar webbläsarfel och blockerar all HTTPS-trafik. |
| 0 eller mindre | Utgått | Certifikatet har gått ut. Byt ut det omedelbart — din webbplats visar säkerhetsfel för alla besökare. |
Vanliga SSL-fel i Chrome, Firefox och Safari: orsaker och åtgärder
Här är de vanligaste SSL-felen i webbläsare och vad de betyder. Använd verktyget för att hitta grundorsaken och tillämpa sedan rätt åtgärd.
Fältet valid_to ligger i det förflutna. Certifikatet har gått ut och måste förnyas innan webbläsare åter litar på anslutningen.
Förnya certifikatet via din CA eller hostingleverantör. Kontrollera att automatisk förnyelse är rätt konfigurerad; de flesta CA:er förnyar automatiskt under de sista 30 dagarna före utgångsdatum.
Domänen i webbläsarens adressfält finns inte med i certifikatets CN- eller SAN-fält. Det händer ofta efter domänmigrering, fel i underdomän eller när certifikatet har utfärdats för fel domän.
Utfärda certifikatet på nytt med rätt domän. Kontrollera att både apex-domänen (example.com) och underdomänen www (www.example.com) finns i SAN-listan.
Certifikatet är utfärdat av en CA som saknas i webbläsarens eller operativsystemets trust store. Det gäller självsignerade certifikat, internt utfärdade certifikat eller certifikat där en mellanliggande CA saknas i kedjan.
Installera ett certifikat från en publikt betrodd CA. Om du använder en intern CA, installera rotcertifikatet i klientens trust store. Säkerställ att servern skickar hela kedjan av mellanliggande certifikat.
Certifikatet har uttryckligen återkallats av utfärdande CA, vanligen för att den privata nyckeln komprometterats, domänen bytt ägare eller certifikatet utfärdats av misstag.
Skaffa ett nytt certifikat omedelbart. Om det inte var du som återkallade det kan den privata nyckeln vara komprometterad; rotera nyckeln, utfärda certifikatet på nytt och utred exponeringen.
Servern skickar ett HTTP-svar på en HTTPS-port, eller så returnerar en proxy ett HTTP-fel innan TLS-handshake är klar. Port 443 får klartext i stället för TLS.
Kontrollera att servern verkligen är konfigurerad att leverera TLS på den port du ansluter till. Gå igenom lastbalanserare och proxyinställningar och säkerställ att TLS-terminering är korrekt uppsatt.
Klienten och servern kan inte enas om TLS-version eller chiffersvit. Det utlöses ofta när servern bara stöder TLS 1.0/1.1 eller använder chiffersviter som moderna webbläsare inte längre accepterar.
Aktivera TLS 1.2 och TLS 1.3 på servern och stäng av TLS 1.0 och TLS 1.1. Uppdatera listan över chiffersviter så att RC4, 3DES och export-grade suites tas bort. Använd Mozilla TLS Configuration Generator för färdiga konfigurationer till Nginx och Apache.
Så kontrollerar du ett SSL-certifikat i 3 steg
Ange en domän
Skriv in valfritt domännamn, till exempel github.com eller api.example.com, i fältet. Verktyget tar automatiskt bort eventuellt https://-prefix. Du kan också ange en anpassad port om HTTPS-tjänsten inte körs på standardport 443.
Granska certifikatet
På några sekunder ser du hela certifikatet: utgångsdatum med nedräkning, utfärdarkedja, förtroendestatus, protokollversion (TLS 1.2 eller 1.3), chiffersvit, SAN:er och SHA-256-fingeravtryck. Inga data sparas.
Tolka resultatet
Om certifikatet har gått ut, är självsignerat eller har fel värdnamn markeras problemet tydligt. Utgångsindikatorn blir gul när mindre än 30 dagar återstår och röd när mindre än 7 dagar återstår. Du kan kopiera alla detaljer med ett klick.
Vad visar ett SSL/TLS-certifikat?
Ett SSL/TLS-certifikat är en digital identitetshandling som bekräftar webbplatsens identitet och gör en krypterad anslutning möjlig. När du besöker en webbplats via HTTPS verifierar webbläsaren först certifikatet, som har utfärdats av en betrodd certifikatutfärdare (CA), innan den öppnar den krypterade kanalen. Utan ett giltigt certifikat visar webbläsare säkerhetsvarningar och kan blockera åtkomst, vilket direkt påverkar både användarnas förtroende och synligheten i sökresultat.
Varje SSL-certifikat innehåller tre nyckeluppgifter:
- •Subject — domännamnet (och organisationen för OV/EV) som certifikatet är utfärdat för
- •Issuer — certifikatutfärdaren (CA) som har signerat och verifierat certifikatet
- •Giltighetstid — de exakta start- och slutdatumen då certifikatet betraktas som betrott
Det här verktyget kontrollerar inte
Verktyget gör en live TLS-handshake och läser certifikatet. Det gör inte följande:
- Bedömer styrkan i chiffersviten med betyg A–F — använd SSL Labs för en full TLS-granskning
- Kontrollerar HSTS-header eller status i preload-listan
- Testar konfigurationen för OCSP stapling
- Detekterar certificate pinning (HPKP)
- Verifierar omdirigering från HTTP till HTTPS
Typer av SSL-certifikat
Olika certifikattyper ger olika nivåer av identitetskontroll. Typen visar vad utfärdaren har verifierat före signering, inte hur stark krypteringen är.
CA:n verifierar bara att sökanden kontrollerar domänen; någon företagsidentitet kontrolleras inte. Utfärdas på minuter via automatiserad DNS- eller HTTP-challenge. Passar bloggar, personliga webbplatser och interna verktyg. I subject visas normalt bara CN (domännamnet), utan O-fält (organisation).
CA:n verifierar både domänkontroll och att organisationen existerar juridiskt. Det tar normalt 1-3 arbetsdagar. Certifikatet visar företagsnamnet i O-fältet, så att besökaren kan se vem som står bakom tjänsten. Rekommenderas för företagssajter och API:er.
Det mest långtgående valideringssteget: CA:n verifierar domän, organisation, fysisk adress, juridisk status och operativ verksamhet. Förr gav detta en grön adressrad i webbläsaren. Nu visas företagsnamnet i certifikatdetaljerna. Vanligt hos banker, fintech-tjänster och e-handelsplattformar som hanterar betalningar.
Täcker en rotdomän och alla underdomäner på första nivån via mönstret *.example.com i CN eller SAN. Ett enda wildcard-certifikat säkrar www.example.com, api.example.com, cdn.example.com och liknande adresser. Det täcker däremot inte underdomäner på andra nivån, som dev.api.example.com; där krävs ett separat certifikat.
Ett enda certifikat kan täcka flera olika domäner via tillägget Subject Alternative Names. Det är vanligt när flera produkter ligger bakom samma certifikat, till exempel example.com, example.io och app.example.net. De flesta moderna certifikat använder SAN även för en enda domän, och CN speglas då i SAN-listan.
När det är värt att kontrollera ett SSL-certifikat
Inför driftsättning
Verifiera att certifikatet täcker exakt den domän som ska gå i produktion. Bekräfta att utfärdaren är en betrodd CA, inte ett självsignerat certifikat, att SAN-listan innehåller både apex-domänen och www-varianten och att protokollet är TLS 1.2 eller högre innan DNS pekas om.
Övervakning av certifikatförnyelse
Kontrollera utgångsdatum proaktivt. Let's Encrypt-certifikat gäller i 90 dagar, och en missad automatisk förnyelse leder snabbt till driftstörning. Kommersiella certifikat gäller oftast i 1 år. Bokmärk verktyget och kontrollera varje månad allt som har mindre än 30 dagar kvar.
Säkerhetsgranskning
Hitta servrar som fortfarande använder TLS 1.0 eller 1.1, svaga chiffersviter eller självsignerade certifikat. Jämför SHA-256-fingeravtrycket med det förväntade värdet efter en certifikatrotation för att bekräfta att ingen MITM-substitution har skett.
Efter domänmigrering
Efter att en domän flyttats till en ny host eller CDN, kontrollera att det nya certifikatet täcker domänen, att rätt utfärdare används och att SAN-listan matchar det som förväntas. Ett certifikat som ligger kvar på den gamla servern men inte är provisionerat på den nya ger webbläsarfel även om DNS pekar rätt.
Vanliga frågor
Relaterade verktyg
Portkontroll
Kontrollera först att port 443 är öppen och tar emot anslutningar innan du verifierar certifikatet.
DNS-sökning
Verifiera att DNS A-poster pekar mot rätt server efter certifikatutrullning eller domänmigrering.
Portinfo
Slå upp standardportar och se vilka tjänster som normalt körs på vilka portar.