# Decoder di certificati

Leggete un certificato X.509 o una catena di massimo 10 certificati in formato PEM o DER con codifica base64. Per ogni certificato, il decoder mostra il subject, l'issuer, il numero seriale, le date di validità e i giorni rimanenti, la chiave pubblica, l'algoritmo di firma, i nomi alternativi del subject, l'uso della chiave, i vincoli, gli indirizzi CRL e OCSP, le impronte digitali SHA-256 e SHA-1 e il pin SPKI; inoltre, verifica se il certificato è autofirmato o firmato dal successivo.

## Domande frequenti

### Quali formati di input può leggere il decoder?

Incollate uno o più blocchi PEM che iniziano con -----BEGIN CERTIFICATE-----, come quelli presenti nei file .pem, .crt e fullchain, oppure un singolo certificato in formato DER con codifica base64 e senza intestazioni. Vengono decodificati fino a 10 certificati nell'ordine in cui li incollate.

### Come viene calcolato lo stato?

Il decoder confronta l'ora corrente con le date notBefore e notAfter e indica se il certificato è valido, scaduto o non ancora valido, specificando il numero di giorni interi trascorsi o rimanenti. Le date sono visualizzate nel formato UTC ISO 8601.

### Che cosa significa «firmato dal certificato successivo»?

In una catena, la firma di ciascun certificato viene verificata con la chiave pubblica del certificato successivo: è così che vengono ordinati un certificato finale, uno intermedio e uno radice. Un «no» indica che l'ordine è errato o che la catena è incompleta. Questa è solo una verifica della firma, non una convalida completa del percorso rispetto a un archivio di certificati attendibili, alla revoca o ai vincoli sui nomi.

### Come viene rilevato un certificato autofirmato?

Un certificato è considerato autofirmato quando il suo issuer corrisponde al suo subject e la sua firma è verificata con la propria chiave pubblica. I certificati radice sono autofirmati, così come molti certificati di test e interni.

### Quali impronte digitali vengono mostrate?

Le impronte digitali SHA-256 e SHA-1 sono hash dell'intero certificato codificato in DER, visualizzati come coppie esadecimali maiuscole separate da due punti; sono gli stessi valori mostrati dai browser e da openssl x509 -fingerprint. Per i confronti, usate SHA-256, perché SHA-1 non è più resistente alle collisioni.

### A cosa serve il pin SPKI?

È l'hash SHA-256 in base64 del SubjectPublicKeyInfo del certificato, usato per il pinning della chiave pubblica HTTP, nella configurazione della sicurezza di rete di Android e in molte librerie di pinning per dispositivi mobili. Rimane invariato quando il certificato viene rinnovato con la stessa chiave.

### Quali estensioni vengono spiegate?

Nomi alternativi del subject e dell'issuer, uso della chiave, uso esteso della chiave, vincoli di base con lunghezza del percorso, identificatori della chiave del subject e dell'autorità, punti di distribuzione CRL, accesso alle informazioni dell'autorità con URL OCSP e dell'issuer CA, e criteri dei certificati con indicatori DV, OV, IV ed EV del CA/Browser Forum. Le altre estensioni sono elencate per nome o identificatore dell'oggetto.

### Come posso ottenere il certificato di un sito web?

Eseguite openssl s_client -connect example.com:443 -showcerts e copiate i blocchi PEM dall'output, oppure esportate il certificato dal visualizzatore di certificati del browser. Anche SSL Certificate Checker può cercare il certificato di un sito.

### Il certificato viene memorizzato?

No. I certificati vengono decodificati in memoria per la vostra richiesta e non vengono mai registrati né salvati. I certificati contengono solo dati pubblici, quindi non incollate mai qui la chiave privata corrispondente.

### Quali sono i limiti?

L'input può contenere fino a 131,072 caratteri e includere al massimo 10 certificati. I blocchi OpenSSL TRUSTED CERTIFICATE non vengono letti, quindi convertiteli prima con openssl x509 -in cert.pem -out plain.pem.

Il tuo annuncio qui?

[Scrivici](mailto:hi@dennn.is?subject=Pubblicit%C3%A0%20su%20OneClick%20Pro)

[Annuncio La suite di plugin pronta per gli agenti di WordPress.](https://sleekwp.com/?ref=oneclickpro)