Zertifikat-Ablauf-Checker

Der Certificate Expiry Checker extrahiert Gültigkeitsdaten aus X.509-Zertifikaten und berechnet genau, wie viele Tage, Stunden und Minuten bis zum Ablauf verbleiben -- damit Ausfälle durch abgelaufene SSL/TLS-Zertifikate verhindert werden, eine der häufigsten Ursachen für Dienstunterbrechungen. Fügen Sie ein oder mehrere PEM-Zertifikate ein und erhalten Sie einen farbcodierten Countdown für jedes.

Grundlagen des Zertifikatsablaufs

Abgelaufene Zertifikate gehören zu den Problemen, die eigentlich nie auftreten sollten, es aber irgendwie doch immer tun. Jedes X.509-Zertifikat hat ein eingebautes Ablaufdatum, und wenn dieses Datum überschritten wird, verweigern Clients die Verbindung. Browser zeigen eine ganzseitige Warnung an, API-Clients werfen TLS-Fehler, und mobile Apps scheitern stillschweigend. Das Ergebnis ist immer dasselbe: Benutzer können Ihren Dienst nicht erreichen, und Ihr Team versucht hektisch herauszufinden, was schiefgelaufen ist. Die Antwort ist fast immer ein Zertifikat, dessen Erneuerung niemand im Blick hatte.

Der Grund, warum dies immer wieder passiert, ist, dass die Zertifikatserneuerung oft ein manueller Prozess ist, der von einer Person verwaltet wird, die das Team möglicherweise verlässt, oder sie ist automatisiert, aber die Automatisierung versagt stillschweigend. Let's Encrypt-Zertifikate laufen alle 90 Tage ab, und kommerzielle Zertifikate haben eine maximale Gültigkeit von 397 Tagen. In beiden Fällen benötigen Sie eine Möglichkeit zu prüfen, wie viel Zeit Ihnen noch bleibt. openssl x509 -enddate auf jedem Zertifikat auszuführen funktioniert, ist aber mühsam, wenn Sie Dutzende von Zertifikaten über mehrere Server, Load Balancer und CDN-Endpunkte verteilt haben.

Dieser Checker vereinfacht diesen Arbeitsablauf. Fügen Sie ein einzelnes Zertifikat oder eine ganze Kette ein, und Sie sehen sofort die Not-Before- und Not-After-Daten mit einem klaren Countdown. Zertifikate, die sich dem Ablauf nähern, werden gelb oder rot hervorgehoben, damit Sie Erneuerungen priorisieren können. Für Teams, die regelmäßige Zertifikatsaudits durchführen, ist dies schneller als sich per SSH auf jeden Server zu verbinden und OpenSSL-Befehle einzeln auszuführen.

So prüfen Sie den Zertifikatsablauf

1. Fügen Sie ein oder mehrere PEM-kodierte Zertifikate ein (beginnend mit -----BEGIN CERTIFICATE-----)
2. Der Checker zeigt das Not-Before- und Not-After-Datum für jedes Zertifikat an
3. Überprüfen Sie den Countdown mit den verbleibenden Tagen, farbcodiert nach Dringlichkeit
4. Identifizieren Sie Zertifikate, die zuerst erneuert werden müssen

Beispiel einer Ablaufprüfungs-Ausgabe

Einfügen einer Zertifikatskette mit drei Zertifikaten:

Farbcodierung des Status

Wann dieses Tool verwenden

• Routinemäßige Zertifikatsaudits -- Fügen Sie alle Ihre Zertifikate ein, um eine nach Ablaufdatum sortierte Ansicht zu erhalten und zu erkennen, welche zuerst erneuert werden müssen
• Prüfung vor der Bereitstellung -- Bestätigen Sie, dass ein neu ausgestelltes Zertifikat eine ausreichende Gültigkeitsdauer hat, bevor Sie es auf Produktionsservern installieren
• Vorfalluntersuchung -- Stellen Sie schnell fest, ob ein TLS-Handshake-Fehler durch ein abgelaufenes Zertifikat verursacht wurde
• Erneuerungsplanung -- Erstellen Sie einen Erneuerungszeitplan basierend auf den tatsächlichen Ablaufdaten Ihrer gesamten Infrastruktur
• Stapelprüfung -- Fügen Sie eine gesamte Zertifikatskette oder ein Bundle ein, um alle Zertifikate auf einmal zu prüfen, anstatt einzelne openssl x509 -enddate-Befehle auszuführen
• Überbrückung von Monitoring-Lücken -- Stichprobenartige Prüfung von Zertifikaten auf Systemen, auf denen noch kein automatisiertes Monitoring eingesetzt wird

Funktionsweise der Zertifikatsgültigkeit

Jedes X.509-Zertifikat enthält zwei Datumsfelder, die sein Gültigkeitsfenster definieren:

• Not Before (notBefore) -- das Zertifikat ist vor diesem Datum nicht gültig. Der Versuch, ein „noch nicht gültiges" Zertifikat zu verwenden, verursacht TLS-Handshake-Fehler genau wie ein abgelaufenes.
• Not After (notAfter) -- das Zertifikat läuft zu genau diesem Zeitpunkt ab. Nach diesem Zeitstempel müssen Clients das Zertifikat ablehnen.

Übliche Gültigkeitszeiträume

Seit September 2020 begrenzt das CA/Browser Forum öffentlich vertraute Endentitäts-Zertifikate auf maximal 397 Tage. Das bedeutet, dass regelmäßige Erneuerung für alle produktiven HTTPS-Zertifikate unvermeidlich ist.

Überlegungen zur Uhrenabweichung

Die Zertifikatsvalidierung hängt von der Systemuhr des Clients ab. Ein Server, dessen Uhr 48 Stunden nachgeht, behandelt Zertifikate 48 Stunden länger als gültig -- und lehnt Zertifikate 48 Stunden nach der Ausstellung als „noch nicht gültig" ab. NTP-Synchronisation ist entscheidend für zuverlässiges TLS.

Zertifikatsablauf in der Praxis verwalten

Das Beste, was Sie tun können, um zertifikatsbezogene Ausfälle zu vermeiden, ist die Erneuerung zu automatisieren. Tools wie certbot, ACME-Clients und Zertifikatsmanager von Cloud-Anbietern übernehmen Erneuerung und Bereitstellung automatisch und beseitigen die Abhängigkeit vom menschlichen Gedächtnis, die die meisten Ablaufvorfälle verursacht. Wenn Sie Let's Encrypt verwenden, erneuert certbot Zertifikate standardmäßig 30 Tage vor Ablauf und kann Ihre Webserver-Konfiguration automatisch neu laden.

Für Zertifikate, die nicht automatisch erneuert werden können -- kommerzielle EV-Zertifikate, Zertifikate für Systeme ohne ACME-Unterstützung oder Zertifikate, die von externen Teams verwaltet werden -- benötigen Sie ein Tracking-System. Eine gemeinsame Tabellenkalkulation ist besser als nichts, aber ein Monitoring-Tool, das 30, 14 und 7 Tage vor Ablauf Warnungen sendet, ist weitaus zuverlässiger. Viele Teams verwenden diesen Checker als Teil einer monatlichen Audit-Routine: Zertifikate von allen Servern exportieren, in das Tool einfügen und den Countdown für alles überprüfen, was sich der Gefahrenzone nähert.

Vergessen Sie nicht die Zwischen- und Stammzertifikate in Ihrer Kette. Obwohl diese weit seltener ablaufen als Endentitäts-Zertifikate, macht ein abgelaufenes Zwischenzertifikat jedes von ihm signierte Endentitäts-Zertifikat ungültig. Einige der größten Zertifikatsausfälle der Geschichte wurden durch ablaufende Zwischenzertifizierungsstellen-Zertifikate verursacht, die niemand im Blick hatte. Prüfen Sie immer die gesamte Kette, nicht nur das Endentitäts-Zertifikat.

Häufig gestellte Fragen

Warum laufen Zertifikate ab? Der Zertifikatsablauf dient mehreren Sicherheitszwecken. Er begrenzt das Zeitfenster der Gefährdung, falls ein privater Schlüssel kompromittiert wird. Er erzwingt eine regelmäßige Neuvalidierung der Domain-Inhaberschaft. Er stellt sicher, dass Organisationen aktuelle kryptografische Standards übernehmen. Kürzere Gültigkeitsdauern (wie die 90-Tage-Zertifikate von Let's Encrypt) fördern die Automatisierung und reduzieren das Risiko durch Schlüsselkompromittierung.

Wie weit im Voraus sollte ich Zertifikate erneuern? Erneuern Sie mindestens 30 Tage vor Ablauf. Let's Encrypt empfiehlt die Erneuerung nach 60 Tagen (ein Drittel der 90-tägigen Gültigkeitsdauer). Bei manuellen Erneuerungsprozessen beginnen Sie mindestens 2 Wochen früher, um Zeit für Genehmigung, Ausstellung und Bereitstellung einzuplanen. Automatisierte Systeme (certbot, ACME-Clients) erneuern typischerweise bei 30 verbleibenden Tagen.

Kann ich den Zertifikatsablauf eines Live-Servers prüfen, ohne die PEM-Datei zu haben? Sie können das Zertifikat mit OpenSSL abrufen: openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -dates gibt die Not-Before- und Not-After-Daten aus. Fügen Sie die vollständige PEM-Ausgabe in dieses Tool ein, um eine detailliertere Ansicht zu erhalten.

Was passiert, wenn ein Zwischenzertifikat abläuft? Wenn ein Zwischenzertifizierungsstellen-Zertifikat in Ihrer Kette abläuft, werden alle von ihm signierten Endentitäts-Zertifikate als nicht vertrauenswürdig eingestuft -- auch wenn die Endentitäts-Zertifikate selbst noch nicht abgelaufen sind. Deshalb ist es wichtig, die gesamte Kette zu prüfen, nicht nur das Endentitäts-Zertifikat.

Warum zeigt mein neues Zertifikat „noch nicht gültig" an? Das Not-Before-Datum eines Zertifikats kann auf einen zukünftigen Zeitpunkt gesetzt sein. Wenn die Uhr der ausstellenden Zertifizierungsstelle und Ihre Uhr leicht aus dem Takt sind oder die Zertifizierungsstelle absichtlich ein zukünftiges Startdatum setzt, wird das Zertifikat bis zu diesem Zeitpunkt ungültig sein. Stellen Sie sicher, dass die Uhr Ihres Servers über NTP synchronisiert ist, und warten Sie, bis das Not-Before-Datum erreicht ist.

Wie automatisiere ich die Überwachung des Zertifikatsablaufs? Für kleine Umgebungen funktioniert ein Cron-Job, der openssl x509 -checkend 2592000 ausführt (prüft, ob das Zertifikat innerhalb von 30 Tagen abläuft) und eine E-Mail-Benachrichtigung sendet, gut. Für größere Umgebungen bieten Tools wie Prometheus mit dem Blackbox-Exporter, Nagios/Icinga check_ssl_cert-Plugins oder dedizierte Zertifikatsmanagement-Plattformen umfassendes Monitoring mit Dashboards und Alarmierung.

Verwandte Tools

• X.509 Certificate Viewer - Vollständige Zertifikatsdetails über die Ablaufdaten hinaus anzeigen
• PEM Bundle Splitter - Zertifikatsketten aufteilen, um jedes Zertifikat einzeln zu prüfen
• Certificate Fingerprint Generator - Fingerabdrücke zum Nachverfolgen von Zertifikaten über Umgebungen hinweg generieren
• SAN Extractor - Prüfen, welche Domains ein Zertifikat vor der Erneuerung abdeckt
• CSR Viewer - Einen Certificate Signing Request vor der Einreichung zur Erneuerung prüfen