SSL Checker
Inspecteer certificaatketen, vervaldatum en algoritme.
- Certificate is valid for this host and not expired.
- example.com
- *.example.com
What does each field mean?
Field reference
Subject (uitgegeven aan)
Het Subject-veld identificeert de certificaathouder. Moderne certificaten leunen op CN (Common Name) plus Subject Alternative Names. Organization (O), Organizational Unit (OU) en Locality (L) zijn aanwezig bij EV/OV-certificaten en ontbreken bij plain DV-certificaten zoals Let's Encrypt.
Issuer (uitgegeven door)
Geeft de CA aan die voor het subject instaat. Browsers leveren een lijst met vertrouwde root-CA's mee; een certificaat van een onbekende issuer (of self-signed) levert NET::ERR_CERT_AUTHORITY_INVALID op. Veelgebruikte publieke CA's: Let's Encrypt, DigiCert, Sectigo, GlobalSign, GoDaddy.
Subject Alt Names (SAN)
Eén certificaat kan via de SAN-extensie meerdere hostnamen dekken — typisch wildcard (<code>*.example.com</code>) of multi-domain (SAN). Sinds 2017 negeren browsers de Common Name en matchen alleen op SAN-entries. Staat uw hostnaam er niet bij, dan is het certificaat daarvoor ongeldig.
Diepte van de keten
Een trust-chain start bij het leaf-certificaat van de server, loopt via één of meer intermediate CA-certificaten en eindigt bij een root-CA uit de trust store van de browser. Diepte 2 (leaf + 1 intermediate) is gangbaar. Servers die intermediates vergeten te sturen veroorzaken "incomplete chain"-fouten.
Handtekening-algoritme
Beschrijft hoe de CA het certificaat heeft ondertekend. <code>sha256WithRSAEncryption</code> (RSA + SHA-256) is de veilige standaard. <code>ecdsa-with-SHA256</code> gebruikt elliptische krommen — kortere sleutels, gelijkwaardige sterkte. <code>sha1WithRSAEncryption</code> is sinds 2017 gebroken en wordt door alle grote browsers afgewezen.
Publieke sleutel
De publieke helft van het sleutelpaar. RSA 2048 bits is vandaag het praktische minimum; 3072+ voor sleutels met een lange levensduur. EC P-256 is korter (~256-bit equivalente sterkte) en sneller. Alles onder RSA 2048 of ouder dan P-256 hoort vervangen te worden.
Onderhandelde cipher
Beschrijft de encryptie van de feitelijke data: key exchange (ECDHE), cipher (AES_256_GCM, CHACHA20_POLY1305), MAC (SHA384). Forward-secret suites (ECDHE-*) zijn vereist door de meeste securitystandaarden. CBC-gebaseerde en RC4-suites zijn obsoleet.
Hostnaam-match
Zelfs een verder geldig certificaat wordt geweigerd als de opgevraagde hostnaam niet in de SAN-lijst staat. Wildcards matchen exact één DNS-label: <code>*.example.com</code> dekt <code>www.example.com</code>, maar NIET <code>a.b.example.com</code> of het kale <code>example.com</code>.
Self-signed
Bij een self-signed cert zijn Subject en Issuer identiek. Browsers vertrouwen het standaard niet — u krijgt "NET::ERR_CERT_AUTHORITY_INVALID". Prima voor interne of staging-omgevingen waar u zowel server als client beheert. Voor productie: Let's Encrypt (gratis) of een publieke CA.
Geldig tot (expiry)
Browsers wijzen verlopen certificaten zonder pardon af. Certificaten van publieke CA's leven doorgaans 90–397 dagen. Zet auto-renewal op: ACME / Let's Encrypt rond 60 dagen voor expiry, commerciële CA's rond 30 dagen. Houd rekening met de geleidelijke industriebrede overstap naar verplichte 90-daagse levensduur tegen 2027.
Volledig geldig
Alle basiscontroles geslaagd: de trust-chain verankert bij een browser-vertrouwde root, de hostnaam staat in SAN, het certificaat valt binnen zijn validity window en het handtekening-algoritme is acceptabel. Dit is de status van het groene hangslot in de browser.
Over deze tool
SSL Checker opent een echte TLS-verbinding naar uw host, vangt de certificaatketen op die de server presenteert, en rapporteert alles wat ertoe doet: subject, uitgever, geldigheidsdata, de volledige intermediaire keten tot aan het vertrouwensanker, signatuur-algoritme, public-key-grootte, ondersteunde TLS-versies en cipher suites, Subject Alternative Names en OCSP-stapling-status. De controle vindt server-side plaats vanaf onze Frankfurt-host, zodat u precies ziet wat een externe bezoeker ziet — niet wat uw browser heeft gecachet.
Een schoon certificaat is niet alleen "het groene hangslot". We valideren hostname-matching tegen SAN's (het legacy CN-veld is alleen informatief, per RFC 6125), controleren dat elke schakel in de keten is ondertekend door de volgende, verifiëren dat intermediairs in de juiste volgorde worden gepresenteerd (een veelvoorkomende deploy-fout), bevestigen dat het leaf-certificaat niet is verlopen en nog niet geldig is, en waarschuwen als het leaf een zwakke signatuur (SHA-1) of te kleine sleutel (RSA < 2048 bits) gebruikt. Dit alles in één HTTPS-handshake.
Wanneer gebruikt u deze tool
- Pre-deploy-verificatie. Na het provisioneren van Let's Encrypt of het kopen van een commercieel cert, bevestig dat de keten compleet is voordat u echte gebruikers ernaartoe verwijst.
- Vervalmonitoring. Spot certs die in de komende 7/14/30 dagen verlopen en vernieuw voordat alarmen afgaan.
- Mixed-content debuggen. Vind subdomeinen die een ander (of zelf-ondertekend) cert presenteren dan de hoofdsite.
- Migratie sanity checks. Na verhuizing naar een nieuwe CDN of load balancer, verifieer dat het nieuwe cert en de keten zijn wat u verwacht.
Wat "chain incomplete" werkelijk betekent
Browsers en OS-trust-stores worden geleverd met enkele honderden root-CA's. Uw leaf-certificaat is ondertekend door een intermediair, die is ondertekend door een andere intermediair of direct door een root. De webserver moet het leaf + elke intermediair tot (maar niet inclusief) de root sturen — Firefox en Chrome proberen ontbrekende intermediairs op te halen via deAIA-extensie, maar iOS, oudere Android en de meeste niet-browser TLS-clients weigeren de handshake. Onze keten-inspecteur vertelt u precies welke schakel ontbreekt, zodat u de juiste intermediair in uw serverconfiguratie kunt plakken.
Veelgestelde vragen
Mijn browser toont het hangslot maar uw tool zegt "chain incomplete" — wie heeft gelijk?
AIA-extensie of uit hun eigen caches — de gebruiker ziet een werkend hangslot. Maar iOS Safari, veel Android-apps, curl, OpenSSL-clients en niet-browser TLS-bibliotheken doen dit niet. Als onze tool "incomplete" zegt zal uw site falen op een niet-triviale fractie van clients; los het op door de volledige keten vanaf de server te serveren.