So nutzt du: SSL-Checker
- Gib einen Domainnamen wie
example.comein (eine vollständige URL funktioniert auch, es wird nur der Hostname verwendet). - Klicke auf SSL prüfen. Wir öffnen eine TLS-Verbindung auf Port 443 und lesen das Zertifikat, das der Server ausliefert.
- Lies das Ergebnis und den Zähler der Restlaufzeit ab: Grün ist in Ordnung, Gelb bedeutet weniger als 30 Tage, Rot weniger als 14 Tage oder abgelaufen.
- Prüfe Aussteller, abgedeckte Hostnamen (SANs), TLS-Version und die Zertifikatskette, um Fehlkonfigurationen zu finden.
Was macht ein SSL-Checker?
Ein SSL-Zertifikat (genauer: TLS-Zertifikat) bestätigt, dass ein Server einen Domainnamen verwenden darf, und ermöglicht die verschlüsselte HTTPS-Verbindung. Dieser Checker verbindet sich wie ein Browser mit dem Server, liest die Zertifikatskette aus und zeigt dir, ob sie vertrauenswürdig, für den Hostnamen gültig und nicht abgelaufen ist. Genau diese drei Punkte entscheiden, ob der Browser das Schloss-Symbol zeigt oder eine vollflächige Warnung.
Was die Ergebnisse bedeuten
- Restlaufzeit: Let’s-Encrypt-Zertifikate laufen 90 Tage und werden etwa nach 60 Tagen automatisch erneuert. Für alle öffentlichen Zertifikate verkürzt das CA/Browser Forum die maximale Laufzeit schrittweise: 200 Tage seit März 2026, 100 Tage ab März 2027 und 47 Tage ab März 2029. Automatische Erneuerung (ACME) wird dadurch unverzichtbar. Ein Zähler unter 30 Tagen bei einem automatisch erneuerten Zertifikat bedeutet meist, dass die Erneuerung fehlschlägt.
- Subject Alternative Names (SANs): die Hostnamen, die das Zertifikat abdeckt.
example.comundwww.example.comsind getrennte Namen. Ein Wildcard-Zertifikat*.example.comdeckt eine Subdomain-Ebene ab, nicht aber die nackte Domain odera.b.example.com. - Chain (Kette): das Endzertifikat, ein oder mehrere Zwischenzertifikate und das Root-Zertifikat. Server müssen die Zwischenzertifikate mitsenden. Fehlt eines, erscheint in manchen Clients der Fehler „unable to verify the first certificate“, auch wenn Desktop-Browser funktionieren.
- Protokoll & Cipher: TLS 1.3 oder 1.2 sind in Ordnung. TLS 1.0 und 1.1 sind veraltet und werden von modernen Browsern blockiert.
Häufige SSL-Fehler und Lösungen
| Fehler | Ursache | Lösung |
|---|---|---|
| CERT_HAS_EXPIRED | Erneuerung ist fehlgeschlagen oder wurde vergessen | Zertifikat erneuern und den Webserver neu laden; Cron-Job bzw. ACME-Client prüfen |
| Hostname mismatch | Der Name steht nicht in den SANs (oft fehlt www) | Zertifikat neu ausstellen und jeden ausgelieferten Hostnamen aufnehmen |
| UNABLE_TO_VERIFY_LEAF_SIGNATURE | Zwischenzertifikat fehlt | Die komplette Kette installieren (fullchain.pem), nicht nur das Endzertifikat |
| SELF_SIGNED_CERT | Selbstsigniert oder interne CA | Für öffentliche Websites eine öffentliche CA wie Let’s Encrypt verwenden |
SSL und SEO
HTTPS ist ein leichtes Ranking-Signal bei Google, und ein ungültiges Zertifikat blockiert Besucher und Crawler komplett. Stelle nach der Reparatur sicher, dass alle HTTP-URLs per 301-Weiterleitung auf HTTPS zeigen. Das prüfst du mit dem Redirect Checker. Ergänze außerdem einen HSTS-Header, den der Security Headers Checker verifiziert.
Auch gesucht als: ssl zertifikat prüfen, zertifikat ablaufdatum, ssl ablauf prüfen, tls checker, https check, ssl zertifikatskette, san prüfen, ssl test.
Passende Tools zu: SSL-Checker
- DNS-Lookup — Alle gängigen DNS-Eintragstypen einer Domain auf einmal abfragen, mit TTL, sortierten MX-Einträgen und einer Zusammenfassung der E-Mail-Authentifizierung (SPF/DMARC).
- Ist es down? Website-Checker — Finde in Sekunden heraus, ob eine Website für alle oder nur für dich nicht erreichbar ist, mit Statuscode, Antwortzeit und Tipps zur Fehlerbehebung.
- HTTP Header Checker — Gib eine beliebige URL ein und sieh genau, was der Server zurückschickt: Statuscode, Weiterleitungskette und jeden Response-Header.
- Email-Header-Analyzer — Füge die rohen Header einer E-Mail ein, um ihren gesamten Weg zu sehen: jeden Server-Hop mit der benötigten Zeit, die SPF-, DKIM- und DMARC-Ergebnisse, die ursprüngliche IP und Warnzeichen wie ein abweichendes Reply-To oder Return-Path.
Häufige Fragen
Wie prüfe ich, wann ein SSL-Zertifikat abläuft?
Gib die Domain oben ein. Das Tool zeigt dir das genaue Ablaufdatum („gültig bis“) und die verbleibenden Tage, farblich markiert, sodass du auf einen Blick siehst, ob eine Erneuerung ansteht.
Deckt mein Zertifikat www und die nackte Domain ab?
Nur wenn beide in der SAN-Liste stehen. Prüfe den Abschnitt „Abgedeckte Hostnamen“. Fehlt
www.example.com, sehen Besucher dieser Adresse eine Zertifikatswarnung.Ist SSL dasselbe wie TLS?
TLS ist der moderne Nachfolger von SSL. SSL 2.0 und 3.0 sind längst veraltet. Viele sagen aus Gewohnheit weiterhin „SSL-Zertifikat“, aber jede sichere Verbindung nutzt heute TLS 1.2 oder 1.3.
Warum funktioniert die Seite in meinem Browser, der Checker meldet aber eine unvollständige Kette?
Browser können fehlende Zwischenzertifikate nachladen oder aus dem Cache nehmen. Viele andere Clients (curl, Android-Apps, Zahlungs-Webhooks) können das nicht. Konfiguriere den Server so, dass er die komplette Kette ausliefert.
Kann ich ein Zertifikat auf einem anderen Port als 443 prüfen?
Dieses Tool prüft nur den Standard-HTTPS-Port 443. Für Mailserver oder eigene Ports nutzt du
openssl s_client -connect host:port.