Code- und Dokumentsignatur

Finde heraus, was hinter einem Release wirklich steckt, bevor du es ausführst. Prüfe Sigstore-Bundles und npm-Provenance bis hin zu Repository, Workflow und Commit, die sie gebaut haben, lies SLSA- und in-toto-Attestierungen, gleiche SSH-signierte Git-Commits und Dateien mit allowed_signers ab und untersuche die Signaturen von ausführbaren Windows-Dateien, Android-APKs und Java-Archiven. Auch für Dokumente und Medien: Prüfe PDF-Signaturen (PAdES, LTV) und signierte E-Mails (S/MIME), ohne etwas hochzuladen, dekodiere Zeitstempel nach RFC 3161, lies die Content Credentials (C2PA) von Bildern und Videos und weise nach, dass ein Schlüssel auf einem YubiKey erzeugt wurde. Dateien und Schlüssel bleiben in deinem Browser; der npm-Checker fragt das Paket, das du angibst, bei der öffentlichen Registry ab, und die optionale zweite Sigstore-Prüfung schickt unserem Server nur das Bundle und den Digest der Datei.

12 Tools

Sigstore-Bundle-Verifizierer

Bundles von cosign, npm und GitHub-Attestierungen

Prüfe ein Sigstore-Bundle gegen die Datei, die es signiert, und die Identität, die du erwartest: das Fulcio-Zertifikat und seine SCTs, den Rekor-Eintrag mit Inclusion Proof und Checkpoint, signierte Zeitstempel und Zeitstempel nach RFC 3161, DSSE- und Nachrichtensignaturen – offline, wie cosign verify-blob.

Tool öffnen

npm-Provenance-Checker

Wo ein npm-Paket wirklich gebaut wurde

Gib ein Paket und eine Version ein: Dein Browser ruft die Attestierungen der Registry ab, und diese Seite prüft sie – die mit Sigstore signierte SLSA-Provenance und die Publish-Attestierung der Registry – bis hin zu Repository, Workflow und Commit, die den Tarball gebaut haben.

Tool öffnen

in-toto-Attestierungs-Viewer

SLSA-Provenance, DSSE und .intoto.jsonl

Füge einen DSSE-Envelope, eine .intoto.jsonl-Datei, ein Sigstore-Bundle oder die Attestierungsliste von npm ein: Sieh dir die Subjects des Statements an und was sein Predicate aussagt – SLSA-Provenance, Prüfzusammenfassungen, SBOMs – und prüfe die Signaturen mit deinen Schlüsseln oder dem eingebetteten Zertifikat.

Tool öffnen

SSH-Signatur-Verifizierer

Mit ssh-keygen -Y signierte Dateien, Commits und Tags

Prüfe eine mit ssh-keygen -Y sign erstellte SSHSIG-Signatur oder einen Git-Commit oder ein Git-Tag mit SSH-Signatur anhand einer allowed_signers-Datei – Namespaces, Principals, Gültigkeitszeiträume und SSH-Zertifikate, nach denselben Regeln wie ssh-keygen.

Tool öffnen

Authenticode-Inspektor

Signaturen von EXE-, DLL- und SYS-Dateien für Windows

Zieh eine ausführbare Windows-Datei hierher: Das Tool berechnet ihren Authenticode-Image-Hash neu und prüft jede Signatur – Zertifikat und Kette des Signierers, verschachtelte SHA-1- und SHA-256-Signaturen, Zeitstempel nach RFC 3161 und Gegensignaturen – und warnt vor Daten, die hinter der Signatur versteckt sind.

Tool öffnen

APK-Signaturinspektor

Android-APK-Signaturverfahren v1–v4

Zieh ein APK (und seine .idsig-Datei) hierher: Jedes Signaturverfahren wird so geprüft, wie apksigner es tut – Signierer von v2, v3 und v3.1 mit ihren Inhalts-Digests, SDK-Bereichen und der Rotationskette (Lineage) ihrer Schlüssel, der Merkle-Baum von v4 und die v1-JAR-Signatur –, samt dem Fingerabdruck des Zertifikats, an dem Android die App erkennt.

Tool öffnen

JAR-Signaturinspektor

Signierte JAR-, WAR- und EAR-Dateien, Eintrag für Eintrag

Zieh eine JAR-, WAR- oder EAR-Datei hierher: Jeder Eintrag wird mit dem Manifest abgeglichen, jede Signaturdatei mit dem Manifest und jeder Signaturblock (PKCS #7) mit seiner Signaturdatei, samt Zeitstempeln und der Kette des Signierers – das Ergebnis von jarsigner -verify -strict, Eintrag für Eintrag.

Tool öffnen

PDF-Signatur-Verifizierer

PDF-Signaturen ohne Upload prüfen

Zieh ein signiertes PDF hierher und sieh, was jede Signatur abdeckt, ob das Dokument nach dem Signieren geändert wurde, wer es signiert hat und wann. PAdES, CMS, Zeitstempel nach RFC 3161 und LTV-Daten werden in deinem Browser geprüft – die Datei wird nie hochgeladen.

Tool öffnen

S/MIME-Signatur-Verifizierer

Signierte E-Mail lokal prüfen

Füge eine signierte E-Mail ein oder öffne die .eml-, .p7m- oder .p7s-Datei: Die CMS-Signatur, das Zertifikat des Unterzeichners, die darin genannte E-Mail-Adresse im Abgleich mit dem From:-Header und die Zertifikatskette werden in deinem Browser geprüft.

Tool öffnen

Zeitstempel-Token-Inspektor

Tokens nach RFC 3161 dekodieren und prüfen

Füge ein Zeitstempel-Token, eine Antwort oder eine Anfrage ein: TSTInfo wird dekodiert, der Message Imprint mit deiner Datei abgeglichen, die Nonce mit der Anfrage, und die Signatur und Zertifikatskette der TSA werden geprüft – alles in deinem Browser.

Tool öffnen

C2PA-Content-Credentials-Inspektor

Content Credentials lesen und prüfen

Zieh ein Foto, ein Video oder eine Audiodatei hierher, um die Content Credentials zu lesen: wer die Datei signiert hat, mit welchen Tools sie erstellt und bearbeitet wurde, ob KI beteiligt war, woraus sie entstanden ist – und ob sie seit dem Signieren verändert wurde. Gelesen wird in deinem Browser mit der Referenzimplementierung von C2PA.

Tool öffnen

YubiKey-Attestierungs-Verifizierer

Nachweisen, dass ein Schlüssel auf einem YubiKey erzeugt wurde

Füge eine YubiKey-PIV-Attestierung und das f9-Zertifikat des Geräts ein: Die Kette bis zur Yubico-CA wird geprüft, und Slot, Firmware, Seriennummer sowie PIN- und Touch-Richtlinie werden ausgelesen – so kannst du einen in Hardware erzeugten Schlüssel verlangen, bevor du ein Zertifikat ausstellst.

Tool öffnen