Værktøjer

Aflæs certifikatet, og brug værktøjerne til at konvertere filer eller kontrollere domænets CAA-records.

Det skal I bruge

Et login med rollen Operator eller højere for at køre værktøjerne.
Certifikatet eller certifikatfilen. Til konvertering med nøgle skal I også have den private nøgle og en eventuel adgangskode.
Adgang til domænets DNS, hvis I vil oprette CAA-records.

Værktøjerne kører på appliancen. En privat nøgle, I indsætter, sendes dertil.

Aflæs certifikatet

Åbn Certifikater › Værktøjer og certifikatafkoderen.
Indsæt certifikatet i PEM-format, højst 50.000 tegn.
Klik på Afkod certifikat.

Kontrollér, at det virker

Resultatet viser certifikatets navne, gyldighed og fingeraftryk. Sammenlign navnene med den tjeneste, certifikatet skal dække.

Hvis det fejler

PEM-teksten afvises → kopiér hele certifikatet med BEGIN CERTIFICATE og END CERTIFICATE, og prøv igen.
En PFX-fil kan ikke åbnes → brug filens adgangskode, og kontrollér, at filen er højst 10 MB.
CAA-opslaget finder ingen records → slå også det overordnede domæne op under CAA-opslag.

TLS-scanning af en server ligger under Servere › Find servere › Ny scanning › Én adresse. Se Find de certifikater, I allerede har.

Afkoderen viser:

subject og udsteder;
serienummer, gyldighedsdatoer og dage tilbage;
SAN’er (Subject Alternative Names);
nøgletype, nøglestørrelse og signaturalgoritme;
fingeraftryk i MD5, SHA-1 og SHA-256;
om certifikatet er selvsigneret eller et CA-certifikat, og dets udvidelser.

Certifikatkonverter

En certifikatkæde er de mellemliggende certifikater, der forbinder serverens certifikat med en rod, browseren stoler på.

Et certifikat, sslbrain styrer, hentes i andre formater med Hent på certifikatet: PEM, kæde, DER, P7B, PFX og JKS. Hvem der må hente den private nøgle, står under Sikkerhed.

Konverteren er til certifikater, sslbrain ikke styrer. Vælg konverteringen, og klik på Konverter.

Konvertering	Input	Resultat
PEM til PFX	Certifikat og nøgle i PEM, evt. kæde	`certificate.pfx`, med adgangskode, hvis I angiver en
PFX til PEM	PFX-fil, højst 10 MB, og dens adgangskode	Certifikat og nøgle i PEM
PEM til DER	Certifikat i PEM	`certificate.der`
PEM til JKS	Certifikat og nøgle i PEM, adgangskode på mindst 6 tegn, alias (standard `server`)	`certificate.jks`
JKS til PEM	JKS-fil og dens adgangskode	Certifikat, nøgle og kæde i PEM

CAA-records

En CAA-record i DNS angiver, hvilke CA’er der må udstede certifikater til et domæne (RFC 8659). Har domænet CAA-records, skal jeres certifikatprofils CA stå i dem. Ellers afviser CA’en at udstede.

CAA-generator

Åbn CAA-generator, og skriv domænet.
Vælg CA’erne under Tilladte CA’er.
Sæt kryds i Tillad wildcard-udstedelse (issuewild), hvis de samme CA’er også må udstede wildcard-certifikater.
Klik på Generer records, og opret dem hos jeres DNS-udbyder.

Records ser sådan ud:

example.dk.  CAA  0 issue "letsencrypt.org"
example.dk.  CAA  0 issuewild "letsencrypt.org"

Listen under Tilladte CA’er har letsencrypt.org, digicert.com, sectigo.com, globalsign.com, certum.pl, entrust.net, godaddy.com, ssl.com, pki.goog og buypass.com.

CAA-opslag

Skriv et domæne, og klik på Slå op. Appliancen slår op via sine egne DNS-servere og viser issue-, issuewild- og iodef-records.

Opslaget ser kun på det navn, I skriver. En CA ser også på de overordnede domæner: CAA-records på example.dk gælder også www.example.dk. Svarer opslaget “Ingen CAA-records fundet”, så slå også det overordnede domæne op.

Selvsigneret certifikat

Laver et selvsigneret certifikat med privat nøgle til test eller intern brug. Browsere og andre klienter stoler ikke på det.

Felt	Valg	Standard
CN	Navnet på certifikatet
SAN’er	Kommaseparerede navne. En IP-adresse bliver en IP-SAN
Gyldighed (dage)	1 til 3650	365
Nøgletype	RSA 2048, RSA 4096 eller ECC P-256	ECC P-256

Klik på Generer certifikat for at få certificate.pem og private-key.pem. Certifikatet er et servercertifikat, ikke en CA, til serverAuth og clientAuth, signeret med SHA-256.