TLS-Zertifikat und HTTP-Check

Zwei Werkzeuge in der Kategorie Netzwerk prüfen Webserver und andere TLS-Dienste: TLS-Zertifikat schaut sich das Zertifikat an, der HTTP-Check die Weiterleitungen und Header einer Website. Beide brauchen eine Lizenz.

TLS-Zertifikat

Ins Feld Host[:Port] gibst du einen Hostnamen ein, etwa inwendo.de. Ohne Port verbindet sich die App mit 443. Andere TLS-Dienste prüfst du mit Port, etwa mail.beispiel.de:993 für IMAPS. Für Mailserver mit STARTTLS auf Port 25 oder 587 nimmst du den SMTP-Test, der zeigt dasselbe Zertifikat.

Die App baut eine TLS-Verbindung auf (Zeitlimit 10 Sekunden) und liest das Zertifikat des Servers. Die Tabelle Zertifikat zeigt:

Feld	Inhalt
Inhaber, Aussteller	Subject und Issuer
Gültig ab, Gültig bis	Laufzeit
Namen (SAN)	alle Hostnamen, für die das Zertifikat gilt
Schlüssel	Typ und Länge, etwa RSA 2048 Bit oder ECDSA P-256
Signatur	Signaturalgorithmus
Seriennummer, SHA-256, SHA-1	zur eindeutigen Identifikation

Befunde

Befund	Bedeutung und was zu tun ist
Zertifikat ist vertrauenswürdig	Das Betriebssystem vertraut dem Zertifikat samt Kette.
Zertifikat wird vom System nicht als vertrauenswürdig eingestuft	Selbst signiert, unbekannte Zertifizierungsstelle, fehlendes Zwischenzertifikat, abgelaufen oder falscher Name. Meist hilft es, die vollständige Kette auf dem Server zu hinterlegen.
Selbst signiertes Zertifikat	Browser und Mailserver vertrauen ihm nicht. Ein Zertifikat einer CA verwenden, etwa Let’s Encrypt.
Name … passt zum Zertifikat	In Ordnung. Platzhalter wie *.beispiel.de gelten nur für das linke Label.
Name … steht nicht im Zertifikat	Das Zertifikat gilt für andere Namen. Der Befund nennt, welche enthalten sind.
Keine Subject Alternative Names	Browser verlangen SAN.
Gültig bis … (… Tage)	In Ordnung.
Zertifikat läuft in … Tagen ab	Unter 30 Tagen Warnung, unter 14 Tagen Fehler. Prüfen, warum die automatische Erneuerung nicht greift.
Zertifikat abgelaufen am …	Sofort erneuern.
Veraltete Signatur	SHA-1 oder MD5. Neues Zertifikat ausstellen lassen.
RSA-Schlüssel zu kurz	Unter 2048 Bit.
HTTP/2 per ALPN ausgehandelt	Auf Port 443: der Server spricht HTTP/2. Sonst gibt es den Hinweis „Kein HTTP/2“.

Die Zwischenzertifikate und die TLS-Version zeigt die App nicht an, weil die TLS-Bibliothek des Systems nur das Serverzertifikat herausgibt. Die Vertrauensprüfung schließt die Kette aber ein: Fehlt ein Zwischenzertifikat, ist das Zertifikat nicht vertrauenswürdig.

TLS-Zertifikat läuft auf macOS, Windows, Linux, iOS und Android. In der Web-Version ist es ausgeblendet.

HTTP-Check

Ins Feld URL oder Domain gibst du eine Domain wie inwendo.de oder eine vollständige URL ein. Ohne https:// beginnt die App bei http://, damit sie die Umleitung auf HTTPS mitprüft.

Die App ruft die Adresse auf und folgt jeder Weiterleitung einzeln, höchstens zehn Stufen, mit 15 Sekunden Zeitlimit je Abruf. Die Tabelle Weiterleitungen zeigt jede Stufe mit URL, Status, Ziel und Dauer, die Tabelle Antwort-Header alle Header der letzten Antwort.

Weiterleitung und Erreichbarkeit

Befund	Bedeutung
HTTP 200 nach … Weiterleitung(en)	In Ordnung.
HTTP leitet dauerhaft auf HTTPS um	In Ordnung: direkte Weiterleitung mit 301 oder 308.
HTTP leitet auf HTTPS um (Status …)	Hinweis: besser eine dauerhafte Weiterleitung (301/308) direkt auf die HTTPS-Adresse.
Keine Umleitung auf HTTPS	Besucher bleiben auf unverschlüsseltem HTTP. 301-Weiterleitung einrichten.
… Weiterleitungen	Hinweis bei mehr als zwei Stufen: jede kostet eine Runde, direkt auf das Ziel verweisen.
Zu viele Weiterleitungen	Vermutlich eine Schleife.
HTTP 4xx oder 5xx	Die Seite liefert einen Fehler.

Security-Header

Endet die Kette bei HTTPS, prüft die App die wichtigsten Security-Header:

Header	Fehlt	Empfehlung
Strict-Transport-Security (HSTS)	Warnung	max-age=31536000; includeSubDomains. Unter einem halben Jahr gibt es einen Hinweis.
Content-Security-Policy	Warnung	begrenzt, woher Skripte geladen werden, und entschärft XSS
X-Content-Type-Options	Warnung	nosniff
X-Frame-Options oder CSP frame-ancestors	Warnung	Schutz vor Einbettung (Clickjacking)
Referrer-Policy	Hinweis	strict-origin-when-cross-origin
Permissions-Policy	Hinweis	sperrt Kamera, Mikrofon, Standort und Ähnliches

Verrät der Server-Header eine Versionsnummer, gibt es ebenfalls einen Hinweis, denn Versionsangaben erleichtern gezielte Angriffe.

Im Browser

In der Web-Version blockiert CORS viele Abrufe. Schlägt der HTTP-Check dort fehl, prüf mit der Desktop-App.

Siehe auch

• Ports, Ping und Traceroute: ist der Server überhaupt erreichbar?
• Datenschutz in der App: was die App beim Abruf sendet