Decodificador de certificado SSL e visualizador X.509

Uma ferramenta on-line para ler certificados X.509 / SSL. Decodifica todos os campos — sujeito, emissor, vigência, Subject Alternative Names, uso de chave, extensões, provas de Certificate Transparency — e depois explica quais deles são um problema. Aceita PEM, DER, base64, hexadecimal, uma cadeia inteira ou uma solicitação de assinatura, e descobre sozinha o que você colou.

Como usar

1
Cole ou arraste

Cole o texto do certificado, arraste um arquivo .crt/.cer/.der/.pem para a área ou escolha pelo botão. Vários arquivos de uma vez são lidos como uma única cadeia.

2
Acrescente um nome de host

Opcional. Informe o domínio que o certificado deve servir e será confirmado que o nome está de fato coberto.

3
Leia primeiro o veredito

Os problemas vêm antes dos detalhes, do mais grave ao menos. As verificações aprovadas ficam recolhidas, então um certificado saudável se lê como «nada quebrado».

4
Depois, os campos

Abaixo do veredito está tudo aberto: nomes, sujeito, emissor, chave, impressões digitais e cada extensão decodificada em vez de despejada em hexadecimal.

Cole um certificado e veja exatamente o que ele cobre, quando expira e o que vai quebrar

Cole acima, solte um arquivo nesta área ou
Verifica se o certificado cobre mesmo esse nome, com as regras que os navegadores aplicam: só SAN, curingas de um único rótulo.

O que faz

Explica, não apenas decodifica
Qualquer visualizador imprime «Signature Algorithm: sha1WithRSA». Este diz que os navegadores rejeitam SHA-1 desde 2017 e o que fazer no lugar. Cerca de quarenta verificações cobrem validade, força de chave, nomes, restrições e higiene de AC.
Lê o que você realmente tem
PEM, DER cru, base64 sem cabeçalho, um despejo hexadecimal, um segredo do Kubernetes (base64 de um PEM), uma cadeia JSON com \n literais, um bloco YAML indentado. E informa como leu a entrada, então um resultado surpreendente se explica sozinho.
Verificação de nome com regras de navegador
Informe um nome de host e valem as regras que os navegadores usam de verdade: só SAN — o Chrome ignora o Common Name desde a versão 58 — e curingas que cobrem exatamente um rótulo.
Cadeias inteiras de uma vez
Cole um arquivo fullchain: os certificados são ordenados, cada assinatura é verificada, o final, os intermediários e a raiz são marcados, e o emissor é nomeado se algum faltar.
Certificate Transparency decodificado
As provas SCT são uma estrutura TLS, não ASN.1, e por isso outros decodificadores as exibem como um borrão hexadecimal. Aqui aparecem os identificadores de log e os carimbos de tempo.
A impressão que sobrevive à renovação
Ao lado das impressões SHA-256 e SHA-1 é calculado o pin da chave pública (pin-sha256), que não muda numa reemissão que mantenha a chave — o valor necessário para pinning e para verificações no estilo HPKP.

Perguntas frequentes

Meu certificado tem o domínio certo no Common Name — por que diz que o nome não está coberto?

Porque os navegadores pararam de ler o Common Name. O Chrome removeu esse recurso na versão 58 (2017) e os demais seguiram; hoje só a extensão Subject Alternative Name é consultada. Um certificado cujo domínio aparece apenas no CN será rejeitado com NET::ERR_CERT_COMMON_NAME_INVALID por mais correto que o CN pareça. A correção é reemitir com os nomes na extensão SAN.

Por que meu site funciona no Chrome mas falha no Android ou no curl?

Quase sempre falta um certificado intermediário. Navegadores de desktop escondem o problema: eles guardam intermediários vistos em outros sites e conseguem baixar o que falta via AIA. Android, curl, Java e a maioria dos clientes de API não fazem nem uma coisa nem outra, então veem uma cadeia que não chega a uma raiz confiável. Cole aqui sua cadeia completa: se a seção de cadeia disser que falta um intermediário, esse é o seu problema.

Que formatos posso colar?

PEM (a forma com -----BEGIN CERTIFICATE-----), arquivos binários DER, base64 sem cabeçalho, um despejo hexadecimal e várias das formas estropiadas em que certificados chegam: PEM embrulhado em base64 de um segredo do Kubernetes, uma cadeia JSON ou Terraform com \n literais, ou um bloco YAML indentado. A ferramenta informa qual forma reconheceu.

Consegue ler uma solicitação de assinatura ou uma chave privada?

Um CSR sim: é decodificado e sua autoassinatura é verificada, o que a maioria dos decodificadores de CSR ignora. Uma chave privada é reconhecida e identificada, mas esta ferramenta o encaminha para a adequada: a comparação entre chave e certificado ou o conversor de formatos.

O que é o pin da chave pública e quando preciso dele?

É um hash SHA-256 da chave pública em vez do certificado inteiro. Como cobre apenas a chave, ele permanece igual quando um certificado é renovado com a mesma chave — e é isso que o torna útil para pinning, para monitoramento no estilo Expect-CT e para confirmar que uma renovação de fato reutilizou a chave antiga. A impressão SHA-256 comum muda a cada reemissão.

Por que avisa sobre um certificado válido por vários anos?

Certificados de confiança pública têm uma vigência máxima imposta pelos navegadores, e ela vem caindo: 825 dias, depois 398 desde setembro de 2020, com novas reduções agendadas pelo CA/Browser Forum. Um certificado público emitido por mais tempo que o limite vigente na emissão será rejeitado sem mais. Para uma AC privada ou interna o limite não se aplica, e a ferramenta só levanta a questão quando o certificado parece de emissão pública.

Você Também Pode Gostar

🔗 Comparador de chave e certificado 🔄 Conversor de formatos de certificado 🧰 Diagnóstico do Let's Encrypt 📝 Gerador de CSR 🏷️ Gerador de certificado autoassinado ⛓️ Reparador de cadeia de certificados 🔐 Verificador SSL

Como você avalia esta ferramenta?

Obrigado pela sua avaliação!
Quer compartilhar mais? Deixe um comentário!
Obrigado! Seu comentário aparecerá após a moderação.
Para quem é esta ferramenta?
💻 Desenvolvedores & TI 🔒 Segurança & Privacidade
Publicado Atualizado Autor: