Certificate-Transparency-Log-Prüfer

• Suche in Certificate-Transparency-Logs: Frage crt.sh ab, die branchenübliche Datenbank für CT-Logs, um alle TLS-Zertifikate für eine Domain zu finden. Sieh jedes von öffentlichen CT-Logs erfasste Zertifikat mit vollständigen Metadaten und Fingerabdruckdetails.
• Detaillierte Zertifikatsmetadaten: Für jedes Zertifikat siehst du den SHA-256-Fingerabdruck, die Seriennummer, den Aussteller (Zertifizierungsstelle), die Subject Alternative Names (SANs) und den konkreten CT-Log, der das Zertifikat mit seinem Eintragszeitstempel erfasst hat.
• Gültigkeits- und Ablaufverfolgung: Jede Zertifikatskarte zeigt den Gültigkeitszeitraum (not before / not after) mit einem farbcodierten Status-Badge - Aktiv (grün), Abgelaufen (rot) oder Noch nicht gültig (bernsteinfarben). Erkenne abgelaufene Zertifikate schnell, die erneuert werden müssen.
• Aussteller- und Log-Aggregation: Sieh eine Zusammenfassung aller Zertifizierungsstellen, die Zertifikate für die Domain ausgestellt haben, sowie der verwendeten CT-Logs. Verstehe deine Zertifikatslandschaft auf einen Blick mit Aufschlüsselungen nach Aussteller und Log-Anzahl.

• TLS-Zertifikatsinventar: Führe ein vollständiges Inventar aller für deine Domains ausgestellten TLS-Zertifikate. CT-Logs sind die einzige autoritative Aufzeichnung jedes Zertifikats, auch der versehentlich oder ohne dein Wissen ausgestellten.
• Erkennung unautorisierter Zertifikate: Erkenne Zertifikate, die von unbekannten oder unautorisierten Zertifizierungsstellen für deine Domain ausgestellt wurden. Certificate Transparency ermöglicht es, bösartige Zertifikate aufzuspüren, die für Man-in-the-Middle-Angriffe genutzt werden könnten.
• Audit abgelaufener Zertifikate: Identifiziere abgelaufene Zertifikate in den CT-Logs, die noch in Gebrauch oder im Client-Cache sein könnten. Ein abgelaufenes Zertifikat kann Dienstunterbrechungen und Sicherheitswarnungen für deine Nutzer verursachen.
• Domain-Sicherheitsüberwachung: Überwache CT-Logs regelmäßig auf neu ausgestellte Zertifikate für deine Domain als Teil deiner Sicherheitsüberwachung. Erkenne Fehlausstellungen, Testzertifikate oder unautorisierte Bereitstellungen.
• Bewertung von Zertifizierungsstellen: Prüfe, welche Zertifizierungsstellen Zertifikate für deine Domain oder die deiner Wettbewerber ausgestellt haben. Verstehe die CA-Landschaft und entscheide fundiert, welchen CAs du beim Zertifikatskauf vertraust.
• Sorgfaltspflicht vor Änderungen: Prüfe vor einem Wechsel der Zertifizierungsstelle oder des Zertifikatstyps die CT-Logs, um dein aktuelles Zertifikatsprofil zu verstehen - einschließlich aller aktiven Zertifikate, ihrer Aussteller und Subject Alternative Names.

Certificate Transparency (CT) ist ein offenes Prüf- und Überwachungssystem zum Schutz des TLS/SSL-Zertifikatsökosystems. Wenn eine Zertifizierungsstelle (CA) ein Zertifikat für eine Domain ausstellt, muss sie es an ein oder mehrere öffentliche CT-Logs übermitteln. Diese Logs sind nur anhängend und kryptografisch überprüfbar und schaffen eine dauerhafte, öffentliche Aufzeichnung jedes ausgestellten TLS-Zertifikats. Seit April 2018 ist CT für alle öffentlich vertrauenswürdigen TLS-Zertifikate verpflichtend (durchgesetzt von Chrome und anderen großen Browsern).

1. Domain eingeben: Gib einen beliebigen Domainnamen ein (z. B. google.com) und klicke auf „CT-Logs prüfen“. Dein Browser fragt die crt.sh-API ab - eine kostenlose, öffentliche Datenbank, die Zertifikate aus allen großen CT-Logs weltweit zusammenführt.
2. Zertifikatsermittlung: crt.sh liefert alle Zertifikate, bei denen die Domain im Common Name (CN) oder in den Subject Alternative Names (SANs) erscheint. Die Ergebnisse werden nach SHA-256-Fingerabdruck dedupliziert und nach Eintragszeitstempel sortiert.
3. Metadaten und Analyse: Jedes Zertifikat wird mit Aussteller (CA), Gültigkeitszeitraum, Fingerabdruck, Seriennummer, SANs und dem konkreten CT-Log angezeigt, das es erfasst hat. Zusammenfassungen zeigen die Ausstellerverteilung und Log-Nutzungsstatistiken für die Domain.

• SHA-256-Fingerabdruck: Ein kryptografischer Hash des Zertifikats. Jedes Zertifikat hat einen eindeutigen Fingerabdruck - er dient zur Identifikation und Deduplizierung von Einträgen.
• Aussteller (CA): Die Zertifizierungsstelle, die das Zertifikat ausgestellt hat (z. B. Let's Encrypt, Google Trust Services, DigiCert).
• Subject Alternative Names (SANs): Alle Domainnamen, für die das Zertifikat gültig ist. Moderne Zertifikate können mehrere Domains abdecken (z. B. example.com und www.example.com).
• Eintragszeitstempel: Wann das Zertifikat zum CT-Log hinzugefügt wurde - meist kurz nach der Ausstellung.
• CT-Log-Name: Der konkrete CT-Log, der dieses Zertifikat erfasst hat (z. B. Google Xenon, Let's Encrypt Oak). Browser verlangen, dass Zertifikate in mindestens zwei genehmigten Logs erscheinen.

Unser Certificate-Transparency-Log-Prüfer fragt die öffentliche crt.sh-API direkt aus deinem Browser ab. Wir speichern, protokollieren oder verarbeiten keine Domainabfragen auf unseren Servern. crt.sh ist ein kostenloser, öffentlicher Dienst, der von der Community betrieben wird. Das Tool ist 100 % kostenlos, ohne Anmeldung, ohne Konto und ohne Nutzungslimits - die gesamte Verarbeitung erfolgt clientseitig in deinem Browser.