Über lange Zeit wurde die Diskussion über die Sicherheit von Domains und Webdiensten auf einige Schlagworte vereinfacht: SSL-Zertifikat, HSTS, HTTPS-Weiterleitung, eventuell Preload-Analyse. In der Praxis weiß jedoch jeder, der Produktionsumgebungen betreibt, dass der tatsächliche „Vertrauenszustand“ einer Domain oder eines Dienstes deutlich umfassender ist. Es geht nicht nur um das Zertifikat selbst, sondern auch um dessen Korrektheit, die Übereinstimmung mit dem Hostnamen, die Vollständigkeit der Vertrauenskette, die Konsistenz von DNS, das Vorhandensein von CAA sowie zunehmend auch um die grundlegende Hygiene von Mail-Records wie SPF, DMARC und DKIM.

Aus genau dieser Annahme heraus haben wir hexssl-cli entwickelt. Das Tool begann als praktisches CLI zur Diagnose von HSTS und HTTPS-Verhalten. Mit Version 0.2.0 erreicht es jedoch die nächste Stufe. Es ist nicht mehr nur ein Utility zur Prüfung des HSTS-Headers, sondern ein erster konkreter Schritt in Richtung eines umfassenderen Sets von Prüfungen für Trust, TLS, DNS und Mail-Sicherheit, das manuell ausgeführt, automatisiert oder in einfache operative Pipelines integriert werden kann.

Warum haben wir hexssl-cli erweitert?

Im Alltag eines Administrators, DevOps-Ingenieurs, technischen Supports oder Hosting-Anbieters endet das Problem fast nie bei der Frage: „Existiert das Zertifikat?“. Viel häufiger sind die Fragen konkreter und operativer: Ist das Zertifikat noch gültig? Passt der Hostname zu den SAN-Einträgen? Ist die Vertrauenskette valide? Lösen Apex und www konsistent auf? Hat die Domain CAA? Gibt es SPF und DMARC? Existiert DKIM für einen bestimmten Selector überhaupt?

Genau diese Art von alltäglichen, praktischen Fragen wollten wir in einem leichten CLI-Tool bündeln, das sowohl für Menschen lesbare Ergebnisse liefert als auch für Automatisierung geeignet ist. Deshalb erweitert hexssl-cli in v0.2.0 seinen Umfang über HSTS hinaus um drei neue Bereiche: Zertifikate, DNS und Mail-Trust.

Was bringt Version 0.2.0?

Die wichtigste Änderung ist die Erweiterung um drei neue Prüfgruppen. Die erste ist cert check, eine schnelle Inspektion des Zertifikats für einen bestimmten Host. Der Befehl liefert Informationen über den Issuer, das Ablaufdatum, die verbleibenden Tage, die Übereinstimmung mit dem Hostnamen, SAN-Felder sowie ein grundlegendes Urteil über die Vertrauenskette. Ein einfacher, aber sehr nützlicher Check, der sofort zeigt, ob das Problem bei Ablauf, Self-Signed-Zertifikat, Hostname-Mismatch oder einer fehlerhaften Kettenvalidierung liegt.

Der zweite Bereich ist dns check. Ziel war hier kein umfassender DNS-Auditor, sondern eine leichte operative Prüfung. Der Befehl überprüft A-, AAAA-, CNAME- und CAA-Records und bewertet die Konsistenz zwischen Apex und www. In der Praxis erkennt man damit schnell Domains, die technisch „funktionieren“, aber grundlegende Hardening-Elemente wie fehlendes CAA vermissen.

Die dritte Neuerung ist mail check, ein erster Schritt in Richtung Mail-Trust-Validierung. Das Tool analysiert SPF-, DMARC- und DKIM-Records für einen bestimmten Selector. Das ist besonders wichtig in Umgebungen, in denen die Domain nicht nur eine Website-Adresse ist, sondern auch Träger von Mail-Reputation, Spoofing-Schutz und Kommunikationssicherheit.

Beispiele für die Nutzung.

Die neuen Befehle wurden so gestaltet, dass sie von Anfang an einfach und verständlich sind.

Zertifikatsprüfung:

hexssl-cli cert check example.com

DNS-Prüfung:

hexssl-cli dns check example.com

Mail-Trust-Prüfung für einen DKIM-Selector:

hexssl-cli mail check example.com --selector default

Alle Befehle können auch JSON zurückgeben:

hexssl-cli cert check example.com --json
hexssl-cli dns check example.com --json
hexssl-cli mail check example.com --selector default --json

Das ist wichtig, da hexssl-cli nicht nur ein „schöner Terminal-Checker“, sondern auch ein Werkzeug für Automatisierung sein soll.

Was bedeutet das in der Praxis?

Der Wert dieser Befehle liegt nicht in der Anzahl der Felder, sondern darin, dass sie schnell ein operatives Urteil liefern. Eine Domain kann im Browser korrekt funktionieren und dennoch CAA fehlen, eine schwache DMARC-Policy haben oder kein DKIM für den verwendeten Selector besitzen. Für den Endnutzer „funktioniert alles“, aus Sicht von Security und Betrieb bestehen jedoch klare Lücken.

hexssl-cli verkürzt genau diesen Weg von „etwas stimmt nicht“ zu „ich weiß, was ich prüfen und beheben muss“.

Das ist noch kein vollständiges Paket – und das ist gut so.

Version 0.2.0 versucht nicht, alles auf einmal zu sein. Kein vollständiges System für Fleet-Scanning oder Zertifikatsmanagement – und das bewusst. Ein stabiles, modulares Wachstum ist hier sinnvoller als ein schwerer All-in-One-Ansatz.

Was kommt als Nächstes?

Der nächste Schritt ist eine Aggregationsschicht für kombinierte Reports sowie weitere Verbesserungen im Developer Experience Bereich. Version 0.2.0 markiert den Übergang von einem reinen HSTS-Tool zu einem leichten Trust-Toolkit für Administratoren und DevOps.