Wie gesund sind die Signaturen deiner Domain?
Gib eine Domain ein, und unser Server untersucht ihre TLS-Konfiguration so, wie es ein strenger Client tun würde: die Zertifikatskette und ihre Signaturalgorithmen, Protokollversionen, Laufzeiten und die Bereitschaft für das, was als Nächstes kommt – verdichtet zu einer Bewertung von A+ bis F, mit einem Badge, das du in ein README einbinden kannst.
Diese Prüfung läuft von unserem Server aus: Der Domainname, den du eingibst, wird an ecdsa.com gesendet, und wir verbinden uns mit Port 443 dieser Domain. Sonst wird nichts erfasst.
Was geprüft wird
Signaturalgorithmen
Welcher Algorithmus das Zertifikat signiert und welchen Schlüssel es zertifiziert – ECDSA-Kurve, RSA-Schlüssellänge, Ed25519 oder ML-DSA als Post-Quanten-Verfahren – und ob noch ein gebrochener Hash (SHA-1, MD5) im Spiel ist.
Zertifikatskette
Die Kette genau so, wie der Server sie ausliefert: Passt jedes Glied Aussteller → Subject, fehlt ein Zwischenzertifikat, ist das Leaf-Zertifikat selbstsigniert?
Protokollversionen
Ob der Handshake TLS 1.3 erreicht und – mit einem separaten, absichtlich altmodischen Handshake – ob die veralteten Versionen TLS 1.0/1.1 noch akzeptiert werden.
Laufzeiten und Rotation
Ablaufdatum, verbleibende Tage und die Laufzeit im Vergleich zu den schrumpfenden Grenzen des CA/Browser Forum (200 Tage ab März 2026, bis 2029 nur noch 47 Tage). Kurze Laufzeiten werden positiv vermerkt, denn sie sprechen für eine automatisierte Rotation.
Was die Bewertungen bedeuten
- A+TLS 1.3, ein moderner Schlüssel, ein kurzlebiges Zertifikat, nichts zu beheben
- Asolide Konfiguration mit höchstens kosmetischen Hinweisen
- Bfunktioniert gut, ein oder zwei Punkte lohnen das Aufräumen
- Cmehrere echte Abzüge – plane die Korrekturen ein
- Dernste Probleme häufen sich
- Fmindestens ein disqualifizierender Mangel: abgelaufenes oder mit SHA-1 signiertes Zertifikat, RSA unter 2048 oder akzeptiertes TLS 1.0
Die Bewertung ist deterministisch – dieselbe Konfiguration bekommt immer denselben Buchstaben. Ergebnisse werden eine Stunde lang zwischengespeichert; jede Berichtsseite hat einen Button „Jetzt neu prüfen“, der den Cache umgeht.
Über den Scanner
Berichte, Badges und die API stammen alle von einem einzigen Scanner, der auf den Servern von ecdsa.com läuft. Seine HTTP-Anfragen tragen den User-Agent ecdsa.com-scanner mit einem Link zu diesem Abschnitt; ein TLS-Handshake hat kein Feld für einen solchen Namen, daher tragen Handshakes keinen.
Er kontaktiert ausschließlich öffentliche Internetadressen. Jede Adresse, zu der ein Name aufgelöst wird, wird zuerst mit den IANA-Registern für Adressen mit besonderem Verwendungszweck abgeglichen, und ein Name, der – auch nur teilweise – auf private, Loopback-, Link-Local- oder anderweitig reservierte Adressbereiche zeigt, wird abgelehnt. Die Verbindung geht dann an die geprüfte Adresse, nie an das Ergebnis einer zweiten Abfrage.
Ganz gleich, wie viele Menschen anfragen: Eine Domain wird höchstens 6 Mal innerhalb von 10 Minuten gescannt, und der Scanner insgesamt führt höchstens 300 Scans pro Minute aus. Ergebnisse werden eine Stunde lang zwischengespeichert.
Du willst selbst in ein Zertifikat hineinschauen? Der Zertifikats-Decoder dekodiert jedes PEM oder DER lokal in deinem Browser. Warum Algorithmen so bewertet werden, wie sie bewertet werden, erklärt dir als Einstieg der Artikel ECDSA vs. RSA.