فاكّ ترميز شهادات SSL وعارض X.509

لأن المتصفحات لم تعد تقرأ الاسم الشائع. أزال Chrome هذا المسار البديل في الإصدار 58 (2017) وتبعه الباقون؛ اليوم لا يُقرأ سوى امتداد Subject Alternative Name. الشهادة التي يظهر نطاقها في CN وحده تُرفض برسالة NET::ERR_CERT_COMMON_NAME_INVALID مهما بدا CN صحيحًا. العلاج إعادة الإصدار مع وضع الأسماء في امتداد SAN.

في الغالب لأن الشهادة الوسيطة مفقودة. متصفحات سطح المكتب تخفي المشكلة: فهي تخزّن الوسيطة التي رأتها على مواقع أخرى، وتستطيع تنزيل المفقودة عبر AIA. أما أندرويد وcurl وجافا ومعظم عملاء الواجهات البرمجية فلا تفعل أيًّا منهما، فترى سلسلة لا تصل إلى جذر موثوق. الصق سلسلتك الكاملة هنا: إن قال قسم السلسلة إن وسيطة مفقودة فتلك هي العلة.

PEM (صيغة ‎-----BEGIN CERTIFICATE-----)، وملفات DER الثنائية، وbase64 بلا ترويسة، وتفريغًا ست عشريًا، وعدة صيغ مشوّهة تصل بها الشهادات عادةً: PEM ملفوف بـ base64 من سر Kubernetes، وسلسلة JSON أو Terraform فيها \n حرفيًا، وكتلة YAML مُزاحة. وتخبرك الأداة أي صيغة تعرّفت عليها.

طلب CSR نعم — يُفك ترميزه ويُتحقق من توقيعه الذاتي، وهو ما تتخطّاه معظم أدوات فكّ ترميز CSR. أما المفتاح الخاص فيُتعرَّف عليه ويُسمّى، لكن هذه الأداة تحيلك إلى المناسبة: مطابقة المفتاح بالشهادة، أو محوّل الصيغ.

هي تجزئة SHA-256 للمفتاح العام لا للشهادة كاملة. ولأنها تغطي المفتاح وحده فإنها تبقى كما هي عند تجديد الشهادة بالمفتاح نفسه — وهذا ما يجعلها صالحة للتثبيت، وللمراقبة على طريقة Expect-CT، وللتأكد من أن التجديد أعاد استخدام المفتاح القديم فعلًا. أما بصمة SHA-256 المعتادة فتتغير مع كل إعادة إصدار.

للشهادات الموثوقة عمومًا حد أقصى للمدة تفرضه المتصفحات وهو في انخفاض: كان 825 يومًا، ثم 398 منذ سبتمبر 2020، وقد جدول منتدى CA/Browser تخفيضات أخرى. الشهادة العامة الصادرة لمدة تتجاوز الحد الساري وقت إصدارها تُرفض ببساطة. أما سلطة التصديق الخاصة أو الداخلية فلا ينطبق عليها هذا الحد، والأداة لا تثير الأمر إلا حين تبدو الشهادة صادرة علنًا.