# Декодер сертифікатів

Переглядайте сертифікат X.509 або ланцюжок із до 10 сертифікатів у форматі PEM чи base64 DER. Для кожного сертифіката декодер показує суб’єкта, видавця, серійний номер, дати чинності та кількість днів до її завершення, відкритий ключ, алгоритм підпису, альтернативні імена суб’єкта, призначення ключа, обмеження, адреси CRL і OCSP, відбитки SHA-256 і SHA-1 та пін SPKI, а також перевіряє, чи він самопідписаний або підписаний наступним сертифікатом.

## Поширені запитання

### Які формати введених даних читає декодер?

Вставте один або кілька блоків PEM, що починаються з -----BEGIN CERTIFICATE-----, як у файлах .pem, .crt і fullchain, або один сертифікат у форматі base64 DER без заголовків. Декодер обробляє до 10 сертифікатів у порядку їх вставлення.

### Як визначається статус?

Декодер порівнює поточний час із датами notBefore і notAfter та повідомляє, чи сертифікат чинний, прострочений або ще не набув чинності, а також кількість цілих днів до або після завершення терміну дії. Дати відображаються у форматі UTC ISO 8601.

### Що означає «підписаний наступним сертифікатом»?

У ланцюжку підпис кожного сертифіката перевіряється за допомогою відкритого ключа наступного за ним сертифіката — так визначається порядок кінцевого, проміжного та кореневого сертифікатів. Відповідь «ні» означає, що порядок неправильний або ланцюжок неповний. Це лише перевірка підпису, а не повна перевірка ланцюжка сертифікації з урахуванням сховища довіри, відкликання чи обмежень імен.

### Як визначається, чи сертифікат самопідписаний?

Сертифікат вважається самопідписаним, якщо його видавець збігається із суб’єктом, а підпис проходить перевірку за допомогою його власного відкритого ключа. Кореневі сертифікати самопідписані, як і багато тестових та внутрішніх сертифікатів.

### Які відбитки відображаються?

Відбитки SHA-256 і SHA-1 — це хеші всього сертифіката в кодуванні DER, записані парами шістнадцяткових цифр у верхньому регістрі, розділеними двокрапками; це ті самі значення, які показують браузери та openssl x509 -fingerprint. Для порівняння використовуйте SHA-256, оскільки SHA-1 більше не є стійким до колізій.

### Для чого використовується пін SPKI?

Це хеш SHA-256 у форматі base64 для SubjectPublicKeyInfo сертифіката. Його використовують для закріплення відкритого ключа HTTP, у конфігурації мережевої безпеки Android і багатьох бібліотеках для закріплення ключів у мобільних застосунках. Він не змінюється після поновлення сертифіката з тим самим ключем.

### Які розширення пояснюються?

Альтернативні імена суб’єкта та видавця, призначення ключа, розширене призначення ключа, базові обмеження з довжиною шляху, ідентифікатори ключа суб’єкта та центру сертифікації, точки розповсюдження CRL, інформація про доступ до центру сертифікації з OCSP та URL видавців CA, а також політики сертифікатів із позначками DV, OV, IV та EV від CA/Browser Forum. Інші розширення перелічено за назвою або ідентифікатором об’єкта.

### Як отримати сертифікат вебсайту?

Виконайте openssl s_client -connect example.com:443 -showcerts і скопіюйте блоки PEM з виводу або експортуйте сертифікат у переглядачі сертифікатів браузера. Інструмент SSL Certificate Checker також може знайти сертифікат сайту.

### Чи зберігається сертифікат?

Ні. Сертифікати декодуються в пам’яті для вашого запиту, їх не журналюють і не зберігають. Сертифікати містять лише загальнодоступні дані, тому ніколи не вставляйте сюди відповідний приватний ключ.

### Які є обмеження?

Розмір введених даних може становити до 131,072 символів і містити не більш ніж 10 сертифікатів. Блоки OpenSSL TRUSTED CERTIFICATE не зчитуються, тож спершу перетворіть їх за допомогою openssl x509 -in cert.pem -out plain.pem.

Ваша реклама тут?

[Напишіть нам електронною поштою](mailto:hi@dennn.is?subject=%D0%A0%D0%B5%D0%BA%D0%BB%D0%B0%D0%BC%D0%B0%20%D0%BD%D0%B0%20OneClick%20Pro)

[Реклама Набір плагінів для роботи з агентами для WordPress.](https://sleekwp.com/?ref=oneclickpro)