Decodificador de certificados
Lee un certificado X.509 o una cadena de hasta 10 certificados en PEM o base64 DER. Para cada certificado, el decodificador muestra el sujeto, el emisor, el número de serie, las fechas de validez y los días restantes, la clave pública, el algoritmo de firma, los nombres alternativos del sujeto, el uso de claves, las restricciones, las ubicaciones de CRL y OCSP, las huellas digitales SHA-256 y SHA-1 y el pin SPKI; también comprueba si está autofirmado o firmado por el siguiente certificado.
Preguntas frecuentes
¿Qué formatos de entrada lee el decodificador?
Pega uno o más bloques PEM que empiecen por -----BEGIN CERTIFICATE-----, como los que aparecen en archivos .pem, .crt y fullchain, o un solo certificado en base64 DER sin encabezados. Se decodifican hasta 10 certificados en el orden en que los pegues.
¿Cómo se calcula el estado?
El decodificador compara la hora actual con las fechas notBefore y notAfter e indica si el certificado es válido, ha caducado o aún no es válido, junto con el número de días completos que quedan o han pasado. Las fechas se muestran en formato UTC de ISO 8601.
¿Qué significa «firmado por el siguiente certificado»?
En una cadena, la firma de cada certificado se verifica con la clave pública del certificado que le sigue; así se ordenan los certificados hoja, intermedio y raíz. Un «no» significa que el orden es incorrecto o que la cadena está incompleta. Esto solo comprueba la firma; no valida la ruta completa frente a un almacén de confianza, la revocación ni las restricciones de nombres.
¿Cómo se detecta un certificado autofirmado?
Un certificado se considera autofirmado cuando su emisor coincide con su sujeto y su firma se verifica con su propia clave pública. Los certificados raíz son autofirmados, al igual que muchos certificados de prueba e internos.
¿Qué huellas digitales se muestran?
Las huellas digitales SHA-256 y SHA-1 son hashes del certificado completo codificado en DER, representados como pares hexadecimales en mayúsculas separados por dos puntos; son los mismos valores que muestran los navegadores y openssl x509 -fingerprint. Conviene comparar SHA-256, porque SHA-1 ya no es resistente a las colisiones.
¿Para qué se usa el pin SPKI?
Es el hash SHA-256 en base64 de SubjectPublicKeyInfo del certificado, el valor que usan el pinning de claves públicas HTTP, la configuración de seguridad de red de Android y muchas bibliotecas de pinning para móviles. Sigue siendo el mismo cuando se renueva un certificado con la misma clave.
¿Qué extensiones se explican?
Nombres alternativos del sujeto y del emisor, uso de claves, uso extendido de claves, restricciones básicas con longitud de ruta, identificadores de clave del sujeto y de la autoridad, puntos de distribución CRL, acceso a información de la autoridad con OCSP y URL de emisores CA, y políticas de certificados con marcadores DV, OV, IV y EV de CA/Browser Forum. Las demás extensiones se indican por nombre o identificador de objeto.
¿Cómo obtengo el certificado de un sitio web?
Ejecuta openssl s_client -connect example.com:443 -showcerts y copia los bloques PEM de la salida, o exporta el certificado desde el visor de certificados del navegador. El comprobador de certificados SSL también puede buscar el certificado de un sitio.
¿Se almacena el certificado?
No. Los certificados se decodifican en memoria para tu solicitud y nunca se registran ni se guardan. Solo contienen datos públicos, así que nunca pegues aquí la clave privada correspondiente.
¿Cuáles son los límites?
La entrada puede tener hasta 131,072 caracteres y contener un máximo de 10 certificados. No se leen los bloques TRUSTED CERTIFICATE de OpenSSL; primero conviértelos con openssl x509 -in cert.pem -out plain.pem.