Über dieses Tool
Ein SSL/TLS-Zertifikat verrät auf einen Blick, für welche Domains es gilt, wer es ausgestellt hat und wann es abläuft – wenn man es lesen kann. Dieser Decoder zeigt den Inhalt von X.509-Zertifikaten und Zertifikatsanforderungen (CSRs) übersichtlich an: Inhaber und Aussteller, Gültigkeitszeitraum mit verbleibender Zeit, alle alternativen Namen (SAN), Schlüsseltyp und -länge, Signaturalgorithmus sowie SHA-256- und SHA-1-Fingerabdruck.
Du kannst ein einzelnes Zertifikat, eine ganze Kette (mehrere PEM-Blöcke hintereinander, etwa aus einer fullchain.pem) oder einen CSR einfügen, bevor du ihn an deine Zertifizierungsstelle schickst. Binäre DER-Dateien (.der, .cer) werden beim Öffnen automatisch in PEM umgewandelt. Erweiterungen wie Key Usage, Extended Key Usage, Basic Constraints, Zertifikatsrichtlinien, OCSP- und CRL-Adressen werden lesbar aufbereitet.
Alles läuft in deinem Browser, es wird nichts hochgeladen. Private Schlüssel lehnt das Tool bewusst ab. Ein neues SSH-Schlüsselpaar erzeugst du mit dem SSH-Schlüssel-Generator, Tokens prüfst du mit dem JWT-Decoder.
So funktioniert’s
- Füge das Zertifikat im PEM-Format ein (beginnt mit -----BEGIN CERTIFICATE-----) oder öffne eine .crt-, .pem-, .der- oder .csr-Datei.
- Lies oben Status und Restlaufzeit ab, darunter Inhaber, Aussteller, SANs, Schlüssel und Fingerabdrücke.
- Klappe „Alle Erweiterungen“ auf, um jede Erweiterung samt OID und Kritisch-Kennzeichen zu sehen.
- Bei einer Kette zeigt jeder Eintrag, von welchem anderen Zertifikat der Kette er ausgestellt wurde.
Häufige Fragen
Ist es sicher, mein Zertifikat hier einzufügen?
Ja. Zertifikate und CSRs sind öffentliche Daten – jeder Browser bekommt dein Zertifikat beim Verbindungsaufbau ohnehin zu sehen. Die Dekodierung läuft trotzdem nur lokal in deinem Browser. Füge niemals einen privaten Schlüssel ein; das Tool erkennt PRIVATE-KEY-Blöcke und weist sie zurück.
Prüft das Tool, ob das Zertifikat vertrauenswürdig ist?
Nein. Es zeigt den Inhalt an, prüft aber keine Signaturen gegen vertrauenswürdige Stammzertifikate und fragt keinen Sperrstatus (OCSP/CRL) ab. Ob ein Zertifikat zu seinem Aussteller passt, siehst du in einer Kette am Hinweis „Ausgestellt von Nr. …“, der auf übereinstimmenden Namen beruht.
Wie bekomme ich das Zertifikat einer Website?
Im Browser über das Schloss-Symbol in der Adressleiste („Verbindung ist sicher“ → Zertifikat) und dort exportieren. Auf der Kommandozeile mit: openssl s_client -connect example.com:443 -showcerts. Die Ausgabe zwischen BEGIN und END kannst du direkt einfügen.
Was ist der Unterschied zwischen PEM und DER?
DER ist die binäre Kodierung eines Zertifikats, PEM dieselben Bytes als Base64-Text zwischen BEGIN- und END-Zeilen. Beide werden hier gelesen; eine DER-Datei wird beim Öffnen in PEM umgewandelt, sodass du sie gleich kopieren kannst.
Wofür brauche ich den Fingerabdruck?
Der SHA-256-Fingerabdruck identifiziert ein Zertifikat eindeutig, etwa beim Certificate Pinning oder um zu prüfen, ob auf zwei Servern dasselbe Zertifikat liegt. Er ist der Hash der DER-Bytes – den gleichen Wert liefert openssl x509 -noout -fingerprint -sha256.