Decodificador de certificados
Leia um certificado X.509 ou uma cadeia de até 10 certificados em PEM ou DER em base64. Para cada certificado, o decodificador mostra o titular, o emissor, o número de série, as datas de validade e os dias restantes, a chave pública, o algoritmo de assinatura, os nomes alternativos do titular, o uso da chave, as restrições, os locais de CRL e OCSP, as impressões digitais SHA-256 e SHA-1 e o pin SPKI, além de verificar se o certificado é autoassinado ou assinado pelo próximo.
Perguntas frequentes
Quais formatos de entrada o decodificador lê?
Cole um ou mais blocos PEM que comecem com -----BEGIN CERTIFICATE-----, como nos arquivos .pem, .crt e fullchain, ou um único certificado em DER em base64 sem cabeçalhos. Até 10 certificados são decodificados na ordem em que você os colar.
Como o status é calculado?
O decodificador compara a hora atual com as datas notBefore e notAfter e informa se o certificado é válido, expirou ou ainda não é válido, indicando o número de dias completos restantes ou decorridos. As datas são exibidas em UTC no formato ISO 8601.
O que significa “assinado pelo próximo certificado”?
Em uma cadeia, a assinatura de cada certificado é verificada com a chave pública do certificado seguinte, que é como os certificados folha, intermediário e raiz são ordenados. Um “não” indica que a ordem está errada ou que a cadeia está incompleta. Essa é apenas uma verificação de assinatura, não uma validação completa do caminho com base em um armazenamento de confiança, revogação ou restrições de nome.
Como um certificado autoassinado é detectado?
Um certificado é considerado autoassinado quando seu emissor corresponde ao titular e sua assinatura é verificada com a própria chave pública. Certificados raiz são autoassinados, assim como muitos certificados de teste e internos.
Quais impressões digitais são exibidas?
As impressões digitais SHA-256 e SHA-1 são hashes do certificado completo codificado em DER, exibidas como pares hexadecimais em maiúsculas separados por dois-pontos, os mesmos valores exibidos pelos navegadores e por openssl x509 -fingerprint. Compare SHA-256, pois SHA-1 não é mais resistente a colisões.
Para que serve o pin SPKI?
É o hash SHA-256 em base64 do SubjectPublicKeyInfo do certificado, o valor usado pelo pinning de chave pública HTTP, pela configuração de segurança de rede do Android e por muitas bibliotecas de pinning para dispositivos móveis. Ele permanece igual quando um certificado é renovado com a mesma chave.
Quais extensões são explicadas?
Nomes alternativos do titular e do emissor, uso da chave, uso estendido da chave, restrições básicas com comprimento do caminho, identificadores de chave do titular e da autoridade, pontos de distribuição de CRL, informações de acesso à autoridade com URLs de OCSP e de emissores de CA, além de políticas de certificado com indicadores DV, OV, IV e EV da CA/Browser Forum. As outras extensões são listadas pelo nome ou identificador de objeto.
Como obtenho o certificado de um site?
Execute openssl s_client -connect example.com:443 -showcerts e copie os blocos PEM da saída, ou exporte o certificado pelo visualizador de certificados do navegador. O SSL Certificate Checker também pode consultar o certificado de um site para você.
O certificado é armazenado?
Não. Os certificados são decodificados na memória para atender à sua solicitação e nunca são registrados nem salvos. Certificados contêm apenas dados públicos; portanto, nunca cole aqui a chave privada correspondente.
Quais são os limites?
A entrada pode ter até 131,072 caracteres e conter no máximo 10 certificados. Blocos TRUSTED CERTIFICATE do OpenSSL não são lidos; converta-os primeiro com openssl x509 -in cert.pem -out plain.pem.