ServerRecords

CERT-Eintrag Abfrage

Verwandte Tools

Blacklist-Abfrage

Fragt ab, ob die IP-Adresse dieser Domain (oder die von dir eingegebene IP-Adresse) auf gängigen E-Mail-Blacklists (DNSBL) gelistet ist — eine Listung kann dazu führen, dass ausgehende E-Mails abgelehnt oder als Spam eingestuft werden.

Worum es geht

CERT-Einträge können Zertifikate (X.509, PGP) direkt im DNS speichern. Sie sind selten; DANE/TLSA und SMIMEA haben die meisten ihrer vorgesehenen Zwecke abgelöst.

So liest du dein Ergebnis

Keine CERT-Einträge sind die Norm und nie ein Problem. Wenn einer existiert, hat ihn jemand bewusst dort platziert — typischerweise für S/MIME oder eine veraltete PKI-Integration.

Häufige Probleme und wie du sie behebst

Veralteter CERT-Eintrag aus einem stillgelegten System

Wie es sich zeigt: Sichtbar geht nichts kaputt, aber der Eintrag bewirbt ein altes Zertifikat — was Audits verwirrt und jedes System in die Irre führt, das ihn noch beachtet.

So behebst du es: Wenn du nicht ermitteln kannst, was den Eintrag verarbeitet, behandle ihn als entfernbar: Lösche ihn und beobachte. Halte das DNS frei von Überbleibseln stillgelegter Systeme.

Weiterführende Artikel

Noch kein Artikel zu diesem Thema.

Weitere Artikel →

Häufig gestellte Fragen

Was ist ein CERT-Eintrag?
Ein CERT-Eintrag (definiert in RFC 4398) ist ein DNS-Eintrag, der ein Zertifikat oder zugehörige Sperrinformationen direkt in der Zone speichert. Gängige Typen sind PKIX (X.509), PGP, SPKI und URI, sodass eine Domain Schlüssel oder Zertifikate veröffentlichen kann, die Clients über DNS abrufen.
Wie benutze ich dieses Tool?
Geben Sie einen Domainnamen ein, und das Tool fragt die CERT-Einträge serverseitig ab und zeigt jeden in lesbarer Form an. Es zeigt den Zertifikatstyp, das Key-Tag, den Algorithmus und die Zertifikatsdaten, sodass Sie sehen, was veröffentlicht ist, ohne es von Hand zu dekodieren.
Warum sind CERT-Einträge wichtig?
Sie ermöglichen es Anwendungen, Zertifikate und öffentliche Schlüssel über DNS zu verteilen statt über ein separates Verzeichnis oder einen Webserver, was die Schlüsselsuche für Protokolle wie S/MIME oder IPSEC vereinfachen kann. In der Praxis sind sie eine Nische, ein Fund bedeutet also meist, dass eine bestimmte Anwendung darauf ausgelegt wurde.
Wie lese ich das Ergebnis?
Jeder Eintrag beginnt mit einem Zertifikatstyp (numerisch oder ein Kürzel wie PKIX, SPKI, PGP, URI), gefolgt von einem Key-Tag, einer Algorithmusnummer und dem Base64-kodierten Zertifikat oder Schlüsselmaterial. Der Typ sagt Ihnen, welche Art von Objekt gespeichert ist und wie ein Client es verwenden soll.
Was ist eine häufige Falle bei CERT-Einträgen?
CERT-Einträge werden selten eingesetzt, daher ist ein leeres Ergebnis normal und deutet bei den meisten Domains nicht auf ein Problem hin. Die gespeicherten Daten können außerdem groß sein, was zu abgeschnittenen oder fragmentierten DNS-Antworten führen kann, sodass ein Resolver und Transport nötig sind, die größere Antworten verarbeiten.