Værktøjer

Værktøjerne ligger under Certifikater › Værktøjer. Alle kan åbne dem. At køre et værktøj kræver rollen Operator eller højere. Værktøjerne kører på appliancen, så en privat nøgle, I indsætter, sendes dertil.

TLS-scanning af en server ligger under Find servere › TLS-scanning. Se Find de certifikater, I allerede har.

Certifikatafkoder

Indsæt et certifikat i PEM, højst 50.000 tegn, og klik på Afkod certifikat. Værktøjet viser:

subject og udsteder;
serienummer, gyldighedsdatoer og dage tilbage;
SAN’er (Subject Alternative Names);
nøgletype, nøglestørrelse og signaturalgoritme;
fingeraftryk i MD5, SHA-1 og SHA-256;
om certifikatet er selvsigneret eller et CA-certifikat, og dets udvidelser.

Certifikatkonverter

Et certifikat, sslbrain styrer, hentes i andre formater med Hent på certifikatet: PEM, kæde, DER, P7B, PFX og JKS. Hvem der må hente den private nøgle, står under Sikkerhed.

Konverteren er til certifikater, sslbrain ikke styrer. Vælg konverteringen, og klik på Konverter.

Konvertering	Input	Resultat
PEM til PFX	Certifikat og nøgle i PEM, evt. kæde	`certificate.pfx`, med adgangskode, hvis I angiver en
PFX til PEM	PFX-fil, højst 10 MB, og dens adgangskode	Certifikat og nøgle i PEM
PEM til DER	Certifikat i PEM	`certificate.der`
PEM til JKS	Certifikat og nøgle i PEM, adgangskode på mindst 6 tegn, alias (standard `server`)	`certificate.jks`
JKS til PEM	JKS-fil og dens adgangskode	Certifikat, nøgle og kæde i PEM

CAA-records

En CAA-record i DNS angiver, hvilke CA’er der må udstede certifikater til et domæne (RFC 8659). Har domænet CAA-records, skal jeres certifikatprofils CA stå i dem. Ellers afviser CA’en at udstede.

CAA-generator

Åbn CAA-generator, og skriv domænet.
Vælg CA’erne under Tilladte CA’er, eller skriv en under Tilpasset CA.
Sæt kryds i Tillad wildcard-udstedelse (issuewild), hvis de samme CA’er også må udstede wildcard-certifikater.
Klik på Generer records, og opret dem hos jeres DNS-udbyder.

Records ser sådan ud:

example.dk.  CAA  0 issue "letsencrypt.org"
example.dk.  CAA  0 issuewild "letsencrypt.org"

Listen under Tilladte CA’er har letsencrypt.org, digicert.com, sectigo.com, globalsign.com, certum.pl, entrust.net, godaddy.com, ssl.com, pki.goog og buypass.com.

CAA-opslag

Skriv et domæne, og klik på Slå op. Appliancen slår op via sine egne DNS-servere og viser issue-, issuewild- og iodef-records.

Opslaget ser kun på det navn, I skriver. En CA ser også på de overordnede domæner: CAA-records på example.dk gælder også www.example.dk. Svarer opslaget “Ingen CAA-records fundet”, så slå også det overordnede domæne op.

Selvsigneret certifikat

Laver et selvsigneret certifikat med privat nøgle til test eller intern brug. Browsere og andre klienter stoler ikke på det.

Felt	Valg	Standard
CN	Navnet på certifikatet
SAN’er	Kommaseparerede navne. En IP-adresse bliver en IP-SAN
Gyldighed (dage)	1 til 3650	365
Nøgletype	RSA 2048, RSA 4096 eller ECC P-256	ECC P-256

Klik på Generer certifikat for at få certificate.pem og private-key.pem. Certifikatet er et servercertifikat, ikke en CA, til serverAuth og clientAuth, signeret med SHA-256.