Über CertH
What CertH scans, how grades are computed, where the leaderboard comes from — and what we never do.
CertH ist ein öffentlicher Gesundheitscheck für die TLS/SSL-Konfiguration jeder Domain: Aus einem einzigen Standard-Handshake entsteht ein Score von 0–100 mit Noten von A+ bis F, dessen Entwicklung im öffentlichen Ranking verfolgt wird. Scannen ohne Anmeldung, Überwachen ohne Serverzugriff.
So wird gescannt
Wir tun nur das, was jeder TLS-Server ohnehin beantwortet: ClientHello an Port 443 senden, Zertifikatskette sowie ausgehandelte Protokollversion und Cipher-Suite auslesen. Kein Agent, kein Server-Login, keine privaten Schlüssel, kein Crawlen von Seiteninhalten. Um Verzerrungen durch einen einzelnen Client-Fingerprint zu vermeiden, werden mehrere ClientHello-Varianten rotiert und das vollständigste Ergebnis behalten.
Wie die Note entsteht
Der Score wird aus dem Handshake-Ergebnis gewichtet: verbleibende Unterstützung für TLS 1.0/1.1, TLS-1.3-Support, Stärke der ausgehandelten Cipher-Suite, Schlüssel- und Signaturalgorithmus, Restlaufzeit, Hostname-Treffer und Kettenlänge. Nach SSL-Labs-Semantik mindern HSTS und OCSP-Stapling den Basisscore nicht — sie entscheiden nur über das Erreichen von A+; ein abgelaufenes Zertifikat ergibt direkt 0 Punkte und F. Jeder Abzug wird mit Begründung ausgewiesen und ist einzeln prüfbar.
| Grade | Score | Meaning |
|---|---|---|
| A+ | ≥95 | Herausragend |
| A | ≥90 | Gut |
| B | ≥80 | Verbesserungswürdig |
| C | ≥70 | Schwach |
| D | ≥55 | Sehr schlecht |
| F | <55 | Durchgefallen |
Für A+ gilt zusätzlich: TLS-1.3-Unterstützung und wirksames HSTS (max-age ≥ 180 Tage oder Preload); ein abgelaufenes Zertifikat wird direkt mit 0 Punkten und F bewertet.
Das Ranking
Das Ranking basiert auf den Tranco Top 20.000 Domains. Ein eigener Scan-Knoten prüft sie täglich neu, schreibt die Ergebnisse in die Snapshot-Historie und ordnet jede Domain 12 Branchen und 20 Regionen zu. Neben dem Gesamtranking gibt es dynamische Listen — größte Verbesserungen, bald ablaufend, neu aufgenommen — sowie Unter-Rankings je Note. Alles ist öffentlich und ohne Login zugänglich.
Badges & API
Jede Domain kann ein SVG-Badge erzeugen — vier Stile: Aussteller-Karte, 30-Tage-Trendkarte, Matt-Kapsel und Marken-Kapsel — mit Hell-/Dunkel-Theme und optionalem Score, eine Stunde am Edge gecacht und direkt in README, Statusseite oder Dashboard einbettbar. Die öffentliche API bietet Sofortscans, Score-Verlauf und Ranking-Daten ohne Authentifizierung.
Kostenlos, offen und die Grenzen
CertH wird vom Team von CSR.plus betrieben und läuft auf dem kostenlosen Cloudflare-Tarif plus einem selbst betriebenen Scan-Knoten; öffentliche Scans, Ranking und Badges sind kostenlos und ohne Konto nutzbar. Die Grenze ist klar benannt: CertH bewertet die Transport-Konfiguration. Es ist kein Penetrationstest und keine Compliance-Zertifizierung. Kritische Systeme brauchen weiterhin ein vollständiges Audit, und ein A+ hier ist kein Grund, anderswo nachzulassen.
