Decodificador de certificados SSL y visor X.509

Una herramienta en línea para leer certificados X.509 / SSL. Decodifica todos los campos —sujeto, emisor, vigencia, Subject Alternative Names, uso de clave, extensiones, pruebas de Certificate Transparency— y después explica cuáles de ellos son un problema. Acepta PEM, DER, base64, hexadecimal, una cadena entera o una solicitud de firma, y averigua por sí misma cuál de esas cosas ha pegado.

Cómo se usa

1
Pegue o arrastre

Pegue el texto del certificado, arrastre un archivo .crt/.cer/.der/.pem al recuadro o elíjalo con el botón. Varios archivos a la vez se leen como una sola cadena.

2
Añada un nombre de host

Opcional. Introduzca el dominio que el certificado debe servir y se confirmará que el nombre está realmente cubierto.

3
Lea primero el veredicto

Los problemas van antes que los detalles, los más graves primero. Las comprobaciones superadas están plegadas, así un certificado sano se lee como «nada roto».

4
Después, los campos

Bajo el veredicto está todo desplegado: nombres, sujeto, emisor, clave, huellas y cada extensión decodificada en vez de volcada en hexadecimal.

Pegue un certificado y vea exactamente qué cubre, cuándo caduca y qué se romperá

Pegue arriba, arrastre un archivo a este recuadro o
Comprueba que el certificado cubre realmente ese nombre, con las mismas reglas que aplican los navegadores: solo SAN, comodines de una sola etiqueta.

Qué hace

Explica, no solo decodifica
Cualquier visor imprime «Signature Algorithm: sha1WithRSA». Este le dice que los navegadores rechazan SHA-1 desde 2017 y qué hacer en su lugar. Unas cuarenta comprobaciones cubren caducidad, fuerza de clave, nombres, restricciones e higiene de CA.
Lee lo que usted tiene de verdad
PEM, DER en crudo, base64 sin cabecera, un volcado hexadecimal, un secreto de Kubernetes (base64 de un PEM), una cadena JSON con \n literales, un bloque YAML indentado. Además informa de cómo ha leído la entrada, así que un resultado sorprendente se explica solo.
Comprobación de nombre con reglas de navegador
Introduzca un nombre de host y se aplicarán las reglas que los navegadores usan de verdad: solo SAN —Chrome ignora el Common Name desde la versión 58— y comodines que cubren exactamente una etiqueta.
Cadenas enteras de una vez
Pegue un archivo fullchain y ordenará los certificados, verificará todas las firmas, marcará el final, los intermedios y la raíz, y nombrará al emisor si falta alguno.
Certificate Transparency decodificado
Las pruebas SCT son una estructura TLS, no ASN.1, y por eso otros decodificadores las muestran como una mancha hexadecimal. Aquí se ven los identificadores de registro y las marcas de tiempo.
La huella que sobrevive a la renovación
Junto a las huellas SHA-256 y SHA-1 se calcula el pin de clave pública (pin-sha256), que no cambia en una reemisión que conserve la clave: el valor que hace falta para el pinning y para comprobaciones de estilo HPKP.

Preguntas frecuentes

Mi certificado tiene el dominio correcto en el Common Name, ¿por qué dice que el nombre no está cubierto?

Porque los navegadores dejaron de leer el Common Name. Chrome eliminó ese recurso en la versión 58 (2017) y los demás siguieron; hoy solo se consulta la extensión Subject Alternative Name. Un certificado cuyo dominio solo aparece en el CN será rechazado con NET::ERR_CERT_COMMON_NAME_INVALID por correcto que parezca el CN. La solución es reemitir con los nombres en la extensión SAN.

¿Por qué mi sitio funciona en Chrome pero falla en Android o en curl?

Casi siempre falta un certificado intermedio. Los navegadores de escritorio esconden el problema: cachean intermedios vistos en otros sitios y pueden descargar el que falte mediante AIA. Android, curl, Java y la mayoría de clientes de API no hacen ninguna de las dos cosas, así que ven una cadena que no llega a una raíz de confianza. Pegue aquí su cadena completa: si la sección de cadena dice que falta un intermedio, ese es su fallo.

¿Qué formatos puedo pegar?

PEM (la forma con -----BEGIN CERTIFICATE-----), archivos binarios DER, base64 sin cabecera, un volcado hexadecimal y varias de las formas maltrechas en que llegan los certificados: PEM envuelto en base64 desde un secreto de Kubernetes, una cadena JSON o Terraform con \n literales, o un bloque YAML indentado. La herramienta indica qué forma ha reconocido.

¿Puede leer una solicitud de firma o una clave privada?

Un CSR sí: se decodifica y se verifica su autofirma, algo que la mayoría de decodificadores de CSR omite. Una clave privada se reconoce e identifica, pero esta herramienta le remitirá a la adecuada: la de comprobar clave contra certificado o el conversor de formatos.

¿Qué es el pin de clave pública y cuándo lo necesito?

Es un hash SHA-256 de la clave pública en lugar del certificado entero. Como solo cubre la clave, no cambia cuando el certificado se renueva con la misma clave, y eso es lo que lo hace útil para pinning, para vigilancia estilo Expect-CT y para confirmar que una renovación reutilizó de verdad la clave anterior. La huella SHA-256 corriente cambia en cada reemisión.

¿Por qué avisa de un certificado válido durante varios años?

Los certificados de confianza pública tienen una vigencia máxima que imponen los navegadores, y va bajando: 825 días, luego 398 desde septiembre de 2020, y el CA/Browser Forum ha programado más reducciones. Un certificado público emitido por más tiempo del permitido en el momento de su emisión será rechazado sin más. Para una CA privada o interna el límite no aplica, y la herramienta solo lo plantea cuando el certificado parece de emisión pública.

También te puede interesar

🔗 Comprobador de clave y certificado 🔄 Conversor de formatos de certificado 🧰 Diagnóstico de Let's Encrypt 📝 Generador de CSR 🏷️ Generador de certificados autofirmados ⛓️ Reparador de cadena de certificados 🔐 Verificador SSL

¿Cómo valoras esta herramienta?

¡Gracias por tu valoración!
¿Quieres contar más? ¡Deja un comentario!
¡Gracias! Tu comentario aparecerá tras la moderación.
¿Para quién es esta herramienta?
💻 Desarrolladores y profesionales de TI 🔒 Seguridad y privacidad
Publicada Actualizada Autor: