Dekoder sertifikat SSL dan penampil X.509

Alat daring untuk membaca sertifikat X.509 / SSL. Ia menguraikan seluruh kolom — subjek, penerbit, masa berlaku, Subject Alternative Names, penggunaan kunci, ekstensi, bukti Certificate Transparency — lalu menjelaskan mana di antaranya yang bermasalah. Menerima PEM, DER, base64, heksadesimal, satu rantai utuh, atau permintaan penandatanganan, dan menentukan sendiri mana yang Anda tempel.

Cara memakai

1
Tempel atau jatuhkan

Tempel teks sertifikat, jatuhkan berkas .crt/.cer/.der/.pem ke kotak, atau pilih lewat tombol. Beberapa berkas sekaligus dibaca sebagai satu rantai.

2
Tambahkan nama host

Opsional. Masukkan domain yang harus dilayani sertifikat, dan akan dikonfirmasi bahwa nama itu benar-benar tercakup.

3
Baca putusannya dulu

Masalah muncul sebelum rincian, yang paling berat lebih dulu. Pemeriksaan yang lolos dilipat, jadi sertifikat sehat terbaca sebagai «tidak ada yang rusak».

4
Barulah telusuri kolomnya

Di bawah putusan semuanya terbentang: nama, subjek, penerbit, kunci, sidik jari, dan tiap ekstensi diuraikan alih-alih ditumpahkan sebagai heksadesimal.

Tempel sertifikat dan lihat persis apa yang dicakup, kapan kedaluwarsa, dan apa yang akan rusak

Tempel di atas, jatuhkan berkas ke kotak ini, atau
Memeriksa apakah sertifikat benar-benar mencakup nama itu, dengan aturan yang dipakai peramban: hanya SAN, wildcard sedalam satu label.

Kemampuan

Menjelaskan, bukan sekadar menguraikan
Penampil mana pun bisa mencetak «Signature Algorithm: sha1WithRSA». Yang ini memberi tahu bahwa peramban menolak SHA-1 sejak 2017, dan apa yang harus dilakukan. Sekitar empat puluh pemeriksaan mencakup masa berlaku, kekuatan kunci, penamaan, batasan, dan kebersihan CA.
Membaca apa yang benar-benar Anda punya
PEM, DER mentah, base64 polos, dump heksadesimal, secret Kubernetes (base64 dari PEM), string JSON dengan \n harfiah, blok YAML berindentasi. Ia juga melaporkan cara ia membaca masukan, sehingga hasil yang mengejutkan menjelaskan dirinya sendiri.
Pemeriksaan nama dengan aturan peramban
Masukkan nama host dan berlakulah aturan yang benar-benar dipakai peramban: hanya SAN — Chrome mengabaikan Common Name sejak versi 58 — dan wildcard yang mencakup tepat satu label.
Rantai utuh sekaligus
Tempel berkas fullchain: sertifikat diurutkan, tiap tanda tangan diverifikasi, sertifikat akhir, perantara, dan akar ditandai, dan penerbitnya disebut bila ada yang hilang.
Certificate Transparency terurai
Bukti SCT adalah struktur TLS, bukan ASN.1, karena itulah dekoder lain menampilkannya sebagai gumpalan heksadesimal. Di sini Anda melihat ID log dan cap waktunya.
Sidik jari yang bertahan melewati perpanjangan
Di samping sidik jari SHA-256 dan SHA-1 dihitung pin kunci publik (pin-sha256), yang tetap sama pada penerbitan ulang yang mempertahankan kunci — nilai yang dibutuhkan untuk pinning dan pemeriksaan bergaya HPKP.

Pertanyaan umum

Domain saya sudah benar di Common Name — kenapa disebut namanya tidak tercakup?

Karena peramban berhenti membaca Common Name. Chrome menghapus cadangan itu di versi 58 (2017) dan yang lain mengikuti; kini hanya ekstensi Subject Alternative Name yang dibaca. Sertifikat yang domainnya hanya ada di CN akan ditolak dengan NET::ERR_CERT_COMMON_NAME_INVALID sebenar apa pun tampilan CN-nya. Perbaikannya: terbitkan ulang dengan nama-nama pada ekstensi SAN.

Kenapa situs saya jalan di Chrome tetapi gagal di Android atau di curl?

Hampir selalu karena sertifikat perantara hilang. Peramban desktop menyembunyikannya: mereka menyimpan perantara dari situs lain dan bisa mengunduh yang hilang lewat AIA. Android, curl, Java, dan sebagian besar klien API tidak melakukan keduanya, sehingga mereka melihat rantai yang tak pernah mencapai akar tepercaya. Tempel rantai lengkap Anda di sini: kalau bagian rantai menyebut perantara hilang, itulah masalahnya.

Format apa saja yang bisa saya tempel?

PEM (bentuk -----BEGIN CERTIFICATE-----), berkas biner DER, base64 polos tanpa header, dump heksadesimal, serta beberapa bentuk rusak tempat sertifikat biasanya tiba: PEM terbungkus base64 dari secret Kubernetes, string JSON atau Terraform dengan \n harfiah, atau blok YAML berindentasi. Alat ini menyebut bentuk mana yang dikenalinya.

Bisakah ia membaca permintaan penandatanganan atau kunci privat?

CSR bisa — diuraikan dan tanda tangannya sendiri diverifikasi, hal yang dilewati kebanyakan dekoder CSR. Kunci privat dikenali dan diidentifikasi, tetapi alat ini akan mengarahkan Anda ke yang tepat: pencocok kunci dengan sertifikat, atau konverter format.

Apa itu pin kunci publik dan kapan saya membutuhkannya?

Ia adalah hash SHA-256 atas kunci publik, bukan atas sertifikat seluruhnya. Karena hanya mencakup kunci, ia tetap sama ketika sertifikat diperpanjang dengan kunci yang sama — dan itulah yang membuatnya berguna untuk pinning, untuk pemantauan bergaya Expect-CT, dan untuk memastikan perpanjangan benar-benar memakai ulang kunci lama. Sidik jari SHA-256 biasa berubah pada tiap penerbitan ulang.

Kenapa ia memperingatkan sertifikat yang berlaku beberapa tahun?

Sertifikat tepercaya publik punya batas masa berlaku yang ditegakkan peramban, dan batas itu terus turun: 825 hari, lalu 398 sejak September 2020, dengan pemangkasan lanjutan yang dijadwalkan CA/Browser Forum. Sertifikat publik yang diterbitkan lebih lama dari batas yang berlaku saat penerbitannya akan ditolak begitu saja. Untuk CA privat atau internal batas ini tidak berlaku, dan alat ini hanya mengangkatnya bila sertifikatnya tampak terbit secara publik.

Anda Mungkin Juga Suka

🔐 Cek SSL 🧰 Diagnosis Let's Encrypt 🔄 Konverter format sertifikat ⛓️ Pembenah rantai sertifikat 📝 Pembuat CSR 🏷️ Pembuat sertifikat tanda tangan sendiri 🔗 Pencocok kunci dan sertifikat

Bagaimana Anda menilai alat ini?

Terima kasih atas penilaian Anda!
Ingin berbagi lebih? Tinggalkan komentar!
Terima kasih! Komentar Anda akan muncul setelah moderasi.
Siapa yang cocok menggunakan alat ini?
💻 Developer & IT Pro 🔒 Keamanan & Privasi
Diterbitkan Diperbarui Penulis: