Decoder di certificati
Leggete un certificato X.509 o una catena di massimo 10 certificati in formato PEM o DER con codifica base64. Per ogni certificato, il decoder mostra il subject, l'issuer, il numero seriale, le date di validità e i giorni rimanenti, la chiave pubblica, l'algoritmo di firma, i nomi alternativi del subject, l'uso della chiave, i vincoli, gli indirizzi CRL e OCSP, le impronte digitali SHA-256 e SHA-1 e il pin SPKI; inoltre, verifica se il certificato è autofirmato o firmato dal successivo.
Domande frequenti
Quali formati di input può leggere il decoder?
Incollate uno o più blocchi PEM che iniziano con -----BEGIN CERTIFICATE-----, come quelli presenti nei file .pem, .crt e fullchain, oppure un singolo certificato in formato DER con codifica base64 e senza intestazioni. Vengono decodificati fino a 10 certificati nell'ordine in cui li incollate.
Come viene calcolato lo stato?
Il decoder confronta l'ora corrente con le date notBefore e notAfter e indica se il certificato è valido, scaduto o non ancora valido, specificando il numero di giorni interi trascorsi o rimanenti. Le date sono visualizzate nel formato UTC ISO 8601.
Che cosa significa «firmato dal certificato successivo»?
In una catena, la firma di ciascun certificato viene verificata con la chiave pubblica del certificato successivo: è così che vengono ordinati un certificato finale, uno intermedio e uno radice. Un «no» indica che l'ordine è errato o che la catena è incompleta. Questa è solo una verifica della firma, non una convalida completa del percorso rispetto a un archivio di certificati attendibili, alla revoca o ai vincoli sui nomi.
Come viene rilevato un certificato autofirmato?
Un certificato è considerato autofirmato quando il suo issuer corrisponde al suo subject e la sua firma è verificata con la propria chiave pubblica. I certificati radice sono autofirmati, così come molti certificati di test e interni.
Quali impronte digitali vengono mostrate?
Le impronte digitali SHA-256 e SHA-1 sono hash dell'intero certificato codificato in DER, visualizzati come coppie esadecimali maiuscole separate da due punti; sono gli stessi valori mostrati dai browser e da openssl x509 -fingerprint. Per i confronti, usate SHA-256, perché SHA-1 non è più resistente alle collisioni.
A cosa serve il pin SPKI?
È l'hash SHA-256 in base64 del SubjectPublicKeyInfo del certificato, usato per il pinning della chiave pubblica HTTP, nella configurazione della sicurezza di rete di Android e in molte librerie di pinning per dispositivi mobili. Rimane invariato quando il certificato viene rinnovato con la stessa chiave.
Quali estensioni vengono spiegate?
Nomi alternativi del subject e dell'issuer, uso della chiave, uso esteso della chiave, vincoli di base con lunghezza del percorso, identificatori della chiave del subject e dell'autorità, punti di distribuzione CRL, accesso alle informazioni dell'autorità con URL OCSP e dell'issuer CA, e criteri dei certificati con indicatori DV, OV, IV ed EV del CA/Browser Forum. Le altre estensioni sono elencate per nome o identificatore dell'oggetto.
Come posso ottenere il certificato di un sito web?
Eseguite openssl s_client -connect example.com:443 -showcerts e copiate i blocchi PEM dall'output, oppure esportate il certificato dal visualizzatore di certificati del browser. Anche SSL Certificate Checker può cercare il certificato di un sito.
Il certificato viene memorizzato?
No. I certificati vengono decodificati in memoria per la vostra richiesta e non vengono mai registrati né salvati. I certificati contengono solo dati pubblici, quindi non incollate mai qui la chiave privata corrispondente.
Quali sono i limiti?
L'input può contenere fino a 131,072 caratteri e includere al massimo 10 certificati. I blocchi OpenSSL TRUSTED CERTIFICATE non vengono letti, quindi convertiteli prima con openssl x509 -in cert.pem -out plain.pem.