Certificaatdecoder
Lees een X.509-certificaat of een keten van maximaal 10 certificaten in PEM- of base64-DER-formaat. Voor elk certificaat toont de decoder de subject, issuer, het serienummer, de geldigheidsdatums met het resterende aantal dagen, de openbare sleutel, het handtekeningalgoritme, alternatieve namen voor de subject, sleutelgebruik, beperkingen, CRL- en OCSP-locaties, SHA-256- en SHA-1-fingerprints en de SPKI-pin, en controleert of het zelfondertekend is of door het volgende certificaat is ondertekend.
Veelgestelde vragen
Welke invoerformaten leest de decoder?
Plak een of meer PEM-blokken die beginnen met -----BEGIN CERTIFICATE-----, zoals in .pem-, .crt- en fullchain-bestanden, of één certificaat als base64-DER zonder headers. Er worden maximaal 10 certificaten gedecodeerd in de volgorde waarin u ze plakt.
Hoe wordt de status berekend?
De decoder vergelijkt de huidige tijd met de datums notBefore en notAfter en meldt of het certificaat geldig, verlopen of nog niet geldig is, met het aantal volledige dagen dat resteert of verstreken is. Datums worden weergegeven in UTC-formaat in de vorm ISO 8601.
Wat betekent 'ondertekend door het volgende certificaat'?
Bij een keten wordt de handtekening van elk certificaat gecontroleerd met de openbare sleutel van het certificaat dat erop volgt. Zo worden een leaf-, intermediate- en rootcertificaat geordend. Een 'nee' betekent dat de volgorde onjuist is of dat de keten onvolledig is. Dit is alleen een handtekeningcontrole, geen volledige padvalidatie tegen een trust store, intrekking of naambeperkingen.
Hoe wordt een zelfondertekend certificaat herkend?
Een certificaat geldt als zelfondertekend wanneer de issuer gelijk is aan de subject en de handtekening met de eigen openbare sleutel kan worden gecontroleerd. Rootcertificaten zijn zelfondertekend, net als veel test- en interne certificaten.
Welke fingerprints worden weergegeven?
De SHA-256- en SHA-1-fingerprints zijn hashes van het volledige DER-gecodeerde certificaat, weergegeven als paren hoofdletters in hexadecimale notatie, gescheiden door dubbele punten. Dit zijn dezelfde waarden die browsers en openssl x509 -fingerprint tonen. SHA-256 is de fingerprint die u moet vergelijken, omdat SHA-1 niet langer botsingsbestendig is.
Waarvoor wordt de SPKI-pin gebruikt?
Dit is de base64-hash SHA-256 van de SubjectPublicKeyInfo van het certificaat, de waarde die wordt gebruikt voor HTTP-public-key-pinning, de netwerkbeveiligingsconfiguratie van Android en veel mobiele pinningbibliotheken. De waarde blijft hetzelfde wanneer een certificaat met dezelfde sleutel wordt vernieuwd.
Welke extensies worden toegelicht?
Alternatieve namen voor subject en issuer, sleutelgebruik, uitgebreid sleutelgebruik, basisbeperkingen met padlengte, subject- en authority-key-identifiers, CRL-distributiepunten, authority information access met OCSP- en CA-issuer-URL's, en certificaatbeleid met DV-, OV-, IV- en EV-markeringen van het CA/Browser Forum. Andere extensies worden vermeld op naam of objectidentifier.
Hoe kom ik aan het certificaat van een website?
Voer openssl s_client -connect example.com:443 -showcerts uit en kopieer de PEM-blokken uit de uitvoer, of exporteer het certificaat vanuit de certificaatviewer van uw browser. De SSL Certificate Checker kan het certificaat van een site ook voor u opzoeken.
Wordt het certificaat opgeslagen?
Nee. Certificaten worden voor uw aanvraag in het geheugen gedecodeerd en nooit gelogd of opgeslagen. Certificaten bevatten alleen openbare gegevens, dus plak hier nooit de bijbehorende privésleutel.
Wat zijn de limieten?
De invoer mag maximaal 131,072 tekens bevatten en maximaal 10 certificaten omvatten. OpenSSL TRUSTED CERTIFICATE-blokken worden niet gelezen; converteer deze daarom eerst met openssl x509 -in cert.pem -out plain.pem.