Was die Domain-Werkzeuge können

Server prüfen öffnen →

Hostname eingeben – der Server wird live abgefragt:

• Welches Zertifikat und welche Kette er wirklich ausliefert – inklusive der häufigsten Fehlerquelle: fehlende Zwischenzertifikate.
• Ob der Hostname zum Zertifikat passt und wie lange es noch gültig ist.
• Ob ein Zertifikat der Kette gesperrt wurde (OCSP bzw. Sperrliste).
• Welche Schlüsselaustausch-Gruppen der Server anbietet – auch post-quantum-sichere (ML-KEM) – und welche Kurven bei TLS 1.2.
• CAA-Einträge im DNS: Welche Zertifizierungsstellen dürfen für die Domain ausstellen – und gehört die aktuelle dazu?
• Nicht nur Webserver: auch Mailserver (SMTP, IMAP, POP3 mit STARTTLS), FTP (AUTH TLS), XMPP (auch zwischen Servern), ManageSieve, LDAP und PostgreSQL – das Protokoll wird am Port erkannt oder lässt sich auswählen; Adressen wie smtp://mail.example.com oder imaps://… funktionieren ebenfalls.
• Welche TLS-Versionen angeboten werden (veraltetes TLS 1.0/1.1 wird gemeldet) und welche Verschlüsselung verwendet wird.
• Ob der Server Post-Quantum-Verschlüsselung (X25519MLKEM768) beherrscht – Schutz gegen „jetzt mitschneiden, später entschlüsseln“.
• Ausführlicher Test mit Note A+ bis F nach dem Vorbild von SSL Labs: Alle Protokolle von SSL 2.0 bis TLS 1.3 und jede der rund 440 bei der IANA registrierten Cipher Suites werden abgefragt und bewertet, dazu HSTS und HSTS-Preload-Liste, OCSP-Stapling, Downgrade-Schutz, sichere Neuverhandlung, TLS-Kompression und bekannte Schwachstellen (DROWN, POODLE, FREAK, Logjam, RC4, SWEET32, CRIME, BEAST). Gemessen wird auch die Größe der DH-Parameter – bekannte Standardgruppen werden benannt. Dazu kommen Session-Wiederaufnahme, HTTP-Sicherheitsheader (CSP, Clickjacking-Schutz, Cookies), BREACH und die Weiterleitung von HTTP auf HTTPS. Hat ein Host mehrere IP-Adressen (Load Balancer, IPv4 und IPv6), wird jede einzeln geprüft – die Note gilt für die schwächste. Auch Server, die nur noch veraltete Verfahren sprechen, werden bewertet.
• Mit einem Klick lassen sich die ausgelieferten Zertifikate in den Konverter übernehmen, z. B. um eine korrekte fullchain zu exportieren.

Konverter & Decoder öffnen →

Dateien hineinziehen oder PEM-Text einfügen – das Format wird am Inhalt erkannt, nicht an der Dateiendung. Informationen erscheinen sofort.

• Umwandeln zwischen PEM, DER, PKCS#12/PFX, Java Keystore (JKS) und PKCS#7/P7B – in alle Richtungen, auch mehrere Dateien zusammen.
• Zielformate für jede Plattform: PFX für Windows/IIS/Azure (wahlweise kompatibel zu älteren Systemen), PEM als ZIP mit cert, chain, fullchain und key für nginx/Apache, PEM in einer Datei für HAProxy und Load Balancer, JKS für Tomcat, P7B und DER.
• Weitere Eingabeformate: OpenSSH-Schlüssel (id_rsa, id_ed25519 …), PuTTY-Schlüssel (.ppk, Version 2 und 3), Java-Keystores im PKCS#12-Format, öffentliche Schlüssel (PEM oder ssh-…-Zeile) und Base64-Text ohne Kopfzeilen, wie ihn manche Portale anzeigen.
• Verschlüsselte Schlüssel (PKCS#8 und das ältere OpenSSL-Format) werden mit Passwort geöffnet.
• Zwischenzertifikate automatisch ergänzen: Fehlende Glieder der Kette werden über die im Zertifikat hinterlegte Adresse der Zertifizierungsstelle geladen; die Kette wird sortiert und endet an der ersten vertrauenswürdigen Root-CA.
• Kettengrafik: Endzertifikat → Zwischenzertifikate → Root-CA auf einen Blick, mit Restlaufzeit, nachgeladenen, fehlenden und gesperrten Gliedern farblich markiert.
• Vertrauensprüfung gegen vier Vertrauensspeicher: Mozilla (Firefox, Linux), Microsoft (Windows, Edge), Apple (macOS, iOS) und Java – so sehen Sie, ob z. B. Java-Anwendungen oder ältere Systeme die Kette akzeptieren. Private oder unbekannte Zertifizierungsstellen werden erkannt.
• Zertifikat-Decoder: Inhaber, Domains, Aussteller, Restlaufzeit, Validierungstyp (DV/OV/EV), Wildcard, Verwendungszweck, OCSP/CRL, Certificate-Transparency-Nachweise, Seriennummer und Fingerprints.
• CSR-Decoder: Inhalt einer Zertifikatsanforderung anzeigen und ihre Signatur prüfen.
• Key-Matcher: zeigt, ob privater Schlüssel, öffentlicher Schlüssel, Zertifikat und CSR zusammengehören.
• Sperrstatus: fragt per OCSP oder Sperrliste (CRL) bei der Zertifizierungsstelle nach, ob ein Zertifikat widerrufen wurde – mit Datum und Grund. Dafür gehen nur die öffentlichen Zertifikate an den Server.
• Warnungen bei abgelaufenen oder bald ablaufenden Zertifikaten, SHA-1-Signaturen, zu kurzen Schlüsseln, fehlenden Domains (SAN) und falscher Kettenreihenfolge.
• OpenSSL-Befehle zum Mitnehmen: Zu jeder Umwandlung zeigt die Seite die passenden Befehle für Ihre Dateinamen – zum Nachvollziehen oder für Skripte.

CSR erstellen öffnen →

• Erzeugt einen neuen privaten Schlüssel (RSA 2048–4096 oder ECDSA P-256/P-384) und die Zertifikatsanforderung für Ihre Zertifizierungsstelle.
• Mehrere Domains, Wildcards und IP-Adressen; der Common Name wird automatisch als Domain eingetragen.
• Optional mit Passwort geschützter Schlüssel. Im lokalen Modus entsteht der Schlüssel ausschließlich in Ihrem Browser.

CT-Suche öffnen →

• Zeigt alle öffentlich ausgestellten Zertifikate einer Domain und ihrer Subdomains aus den Certificate-Transparency-Logs.
• Nützlich, um vergessene Subdomains zu finden oder zu prüfen, ob jemand unerwartet Zertifikate für Ihre Domain bekommen hat.
• Quelle: crt.sh mit vollständiger Historie, ersatzweise Cert Spotter mit den aktuell gültigen Zertifikaten.

E-Mail-Sicherheit öffnen →

• Auf einen Blick: Können andere Mails im Namen der Domain fälschen (SPF, DKIM, DMARC) – und kommen Mails an sie verschlüsselt an (MTA-STS, DANE)?
• MX mit Adressen und Reverse-DNS, SPF mit allen eingebundenen Einträgen und Zähler für das Limit von 10 DNS-Abfragen, DKIM mit Schlüssellänge (eigener Selector oder gängige werden durchprobiert), DMARC mit Richtlinie und Berichtsadressen, MTA-STS inklusive Richtliniendatei, TLS-RPT und BIMI.

E-Mail-Header analysieren öffnen →

• Header einer empfangenen Mail einfügen: Weg über alle Server mit Zeitpunkten, Wartezeiten und ob verschlüsselt übertragen wurde.
• Was der Empfänger bei SPF, DKIM und DMARC festgestellt hat, DKIM-Signaturen und Spam-Bewertung.
• Hinweise auf typische Betrugsmerkmale: fremde Antwortadresse, Absendername mit fremder Adresse, Datum in der Zukunft. Die IP-Adressen und Domains lassen sich mit einem Klick weiter prüfen.
• Läuft im Browser – die Header (mit Namen und Adressen) werden nicht übertragen.

Mailserver testen öffnen →

• Verbindet sich mit den Mailservern einer Domain (Port 25) oder einem Einlieferungsserver (587, 465) und zeigt Begrüßung, Erweiterungen und Antwortzeit.
• STARTTLS mit vollständiger Zertifikatsprüfung wie im Server-Check; per Klick der ausführliche Test mit Note.
• Warnt, wenn Passwörter vor der Verschlüsselung angenommen würden, und prüft auf ein offenes Relay – ohne je eine Mail zu verschicken.

Domain prüfen öffnen →

• Registrierung direkt von der Registry: Registrar, Ablauf, Status und Transfersperre – per RDAP oder, wo es kein RDAP gibt (etwa .de), per WHOIS.
• Nameserver: Stimmen Registry und Zone überein, antworten alle autoritativ mit derselben Seriennummer, ist einer ein offener Resolver?
• DNSSEC-Vertrauenskette von der Root-Zone bis zur Domain – mit Erklärung, wo und warum sie bricht.

Zonen-Überblick öffnen →

• Alle wichtigen Einträge einer Domain auf einer Seite – direkt vom zuständigen Nameserver, mit den echten TTL-Werten.
• Hinweise auf typische Fehler: CNAME an der Zonenspitze, fehlendes IPv6 oder www, sehr kurze TTLs, Wildcards, mehrere SPF-Einträge, ungünstige SOA-Werte, fehlende CAA-Einträge.

Subdomains öffnen →

• Alle Subdomains, für die jemals ein öffentliches Zertifikat ausgestellt wurde (Certificate-Transparency-Logs) – aktuell aufgelöst mit Adresse, Netzbetreiber und neuestem Zertifikat.
• Warnt vor verwaisten Einträgen: Zeigt ein CNAME auf einen gelöschten Cloud-Dienst (Azure, AWS, GitHub Pages, Heroku …), kann ein Fremder die Subdomain übernehmen.

DNS-Abfrage öffnen →

• Alle üblichen Eintragstypen; bei einer IP-Adresse automatisch der Reverse-DNS-Eintrag. Domains mit Umlauten werden automatisch umgewandelt.
• Auf Wunsch im Vergleich mehrerer DNS-Server und der Nameserver der Domain – ist eine Änderung schon überall angekommen?

IP-Adresse öffnen →

• Reverse-DNS, Netzbetreiber (ASN), Adressbereich, Organisation und Abuse-Kontakt der zuständigen Registry.
• Spam-Blocklisten – wenn der Betreiber einen eigenen DNS-Server eingerichtet hat.

DANE / TLSA öffnen →

• Vergleicht die TLSA-Einträge mit dem Zertifikat, das der Server wirklich ausliefert (auch Mailserver per STARTTLS), und schlägt den passenden Eintrag für das aktuelle Zertifikat vor.

DS-Eintrag erzeugen öffnen →

• Berechnet aus den Schlüsseln der Zone den DS-Eintrag für den Registrar (SHA-256, SHA-384) – oder aus einem eingefügten DNSKEY.
• Vergleicht mit dem heute hinterlegten DS und zeigt den DNSKEY für Registries, die ihn statt des DS verlangen (z. B. DENIC).

Datenschutz und Sicherheit

• Lokal im Browser: Konverter & Decoder, CSR-Erstellung und E-Mail-Header-Analyse laufen als WebAssembly in Ihrem Browser. Schlüssel, Passwörter und Mail-Header werden nicht übertragen. Die Engine (ca. 4,5 MB) wird erst geladen, wenn Sie eines dieser Werkzeuge öffnen.
• Server-Modus nur, wenn Ihr Browser den lokalen Modus nicht kann – deutlich gekennzeichnet und erst nach Bestätigung. Dateien werden nur im Arbeitsspeicher verarbeitet, nie gespeichert oder protokolliert.
• Prüfwerkzeuge (Server prüfen, CT-Suche, DNS & E-Mail) laufen über den Server, weil Browser keine Verbindungen zu fremden Servern aufbauen oder DNS abfragen können. Übertragen wird nur der eingegebene Host- oder Domainname; Ergebnisse werden höchstens einige Minuten zwischengespeichert.
• Keine Cookies, kein Tracking, keine externen Skripte oder Schriften.
• Hell, Dunkel oder automatisch nach System – umschaltbar oben rechts (die Wahl wird nur in Ihrem Browser gespeichert).

Mehr dazu: Browser-Anforderungen & Selbsttest · Zertifikatsformate & OpenSSL-Befehle