Декодер SSL-сертифікатів та переглядач X.509

Онлайн-інструмент для читання сертифікатів X.509 / SSL. Декодує кожне поле — суб’єкт, видавець, термін дії, Subject Alternative Names, використання ключа, розширення, докази Certificate Transparency — і пояснює, які з них є проблемою. Приймає PEM, DER, base64, hex, цілий ланцюг або запит на підпис сертифіката і самостійно визначає, що саме ви вставили.

Як користуватися

Вставте або перетягніть

Вставте текст сертифіката, перетягніть файл .crt/.cer/.der/.pem у поле або виберіть його кнопкою. Кілька файлів одночасно читаються як один ланцюг.

Додайте ім’я хоста

Необов’язково. Введіть домен, для якого призначений сертифікат — інструмент підтвердить, що ім’я справді охоплено.

Спочатку читайте вердикт

Проблеми перелічені перед деталями, починаючи з найсерйозніших. Пройдені перевірки згорнуто, тому справний сертифікат читається як «все в порядку».

Дослідіть поля

Нижче вердикту кожне поле розкладено по порядку: імена, суб’єкт, видавець, ключ, відбитки та кожне розширення декодовано, а не виведено як hex.

Вставте сертифікат і дізнайтеся, що саме він охоплює, коли закінчується і що зламається

Сертифікат, ланцюг або CSR

Вставте вище, перетягніть файл у це поле або

Або отримайте сертифікат напряму з сайту

Ім’я хоста для перевірки (необов’язково)

Перевіряє, чи сертифікат справді охоплює це ім’я за тими самими правилами, що й браузери — тільки SAN, маскарад на один рівень.

Що він робить

Пояснює, а не лише декодує

Будь-який переглядач може вивести "Signature Algorithm: sha1WithRSA". Цей розповість, що браузери відхиляють SHA-1 з 2017 року, і що з цим робити. Близько сорока перевірок охоплюють термін дії, міцність ключа, іменування, обмеження та гігієну центру сертифікації.

Читає те, що є насправді

PEM, сирий DER, чистий base64, hex-дамп, секрет Kubernetes (base64 з PEM), рядок JSON з буквальними \n, блок YAML з відступами. Інструмент повідомляє, як він прочитав вхідні дані — несподіваний результат пояснює себе сам.

Перевірка імені хоста за правилами браузерів

Введіть ім’я хоста — інструмент застосує правила, які браузери використовують насправді: тільки SAN (Chrome ігнорує Common Name з версії 58), маскарад рівно на один рівень.

Цілі ланцюги одночасно

Вставте файл fullchain — інструмент впорядкує сертифікати, перевірить кожен підпис, позначить кінцевий, проміжні та кореневий, і вкаже на видавця, якщо один відсутній.

Certificate Transparency розкодовано

SCT-докази — це структура TLS, а не ASN.1, тому інші декодери показують їх як hex-блоб. Тут ви отримаєте ідентифікатори журналів і мітки часу.

Пін, який зберігається після поновлення

Разом з відбитками SHA-256 і SHA-1 обчислюється пін відкритого ключа (pin-sha256), який залишається незмінним після перевипуску з тим самим ключем — саме це значення потрібне для пінінгу та перевірок у стилі HPKP.

Часті запитання

У мого сертифіката правильний домен у Common Name, то чому ім’я вважається не охопленим?

Тому що браузери припинили читати Common Name. Chrome прибрав запасний варіант у версії 58 (2017), інші наслідували — сьогодні враховується лише розширення Subject Alternative Name. Сертифікат, у якого домен є тільки в CN, буде відхилений з помилкою NET::ERR_CERT_COMMON_NAME_INVALID незалежно від того, наскільки правильно виглядає CN. Рішення — перевипустити сертифікат з іменами хостів у розширенні SAN.

Чому мій сайт працює в Chrome, але відмовляє на Android або в curl?

Майже завжди причина — відсутній проміжний сертифікат. Настільні браузери приховують проблему: вони кешують проміжні сертифікати з інших сайтів і можуть отримати відсутній через AIA. Android, curl, Java та більшість API-клієнтів цього не роблять, тому бачать ланцюг, який не доходить до довіреного кореня. Вставте повний ланцюг — якщо розділ ланцюга повідомить про відсутній проміжний сертифікат, це і є ваша помилка.

Які формати можна вставити?

PEM (форма -----BEGIN CERTIFICATE-----), сирі двійкові файли DER, чистий base64 без заголовка, hex-дамп та кілька спотворених форм, у яких надходять сертифікати: PEM в base64 з секрету Kubernetes, рядок JSON або Terraform з буквальними \n, або блок YAML з відступами. Інструмент повідомляє, яку форму він розпізнав.

Чи може він прочитати запит на підпис сертифіката або приватний ключ?

CSR — так: він декодується і перевіряється його самопідпис, що більшість CSR-декодерів пропускає. Приватний ключ розпізнається та ідентифікується, але інструмент скерує вас до потрібного: засобу порівняння ключа з сертифікатом або конвертера для зміни формату.

Що таке пін відкритого ключа і коли він потрібен?

Це хеш SHA-256 відкритого ключа, а не всього сертифіката. Оскільки він охоплює лише ключ, він залишається незмінним при поновленні сертифіката з тим самим ключем — саме це робить його придатним для пінінгу, моніторингу в стилі Expect-CT та підтвердження того, що поновлення справді використало старий ключ. Звичайний відбиток SHA-256 змінюється при кожному перевипуску.

Чому він попереджає про сертифікат, дійсний кілька років?

Публічно довірені сертифікати мають максимальний термін дії, що застосовується браузерами, і він постійно скорочується: 825 днів, потім 398 з вересня 2020 року, і CA/Browser Forum запланував подальші скорочення. Публічний сертифікат, виданий на термін, що перевищував ліміт на момент видачі, буде беззастережно відхилений. Для приватного або внутрішнього центру сертифікації ліміт не застосовується, і інструмент піднімає це питання лише тоді, коли сертифікат виглядає публічно виданим.

💡 Хочете, щоб ми покращили цей інструмент спеціально для вас?

Звичайно! Просто надішліть нам коротке повідомлення з вашою ідеєю. Якщо хочете обговорити детальніше — залиште email, і ми зв’яжемося з вами. Можна залишитися анонімом.

Як ви оцінюєте цей інструмент?

Дякуємо за вашу оцінку!

Змінити мою оцінку

Хочете залишити коментар?

Хочете розповісти більше? Залиште коментар!

Дякуємо! Ваш коментар з’явиться після модерації.

Для кого цей інструмент?

Опубліковано 04 сер 2026 Оновлено 14 сер 2026 Автор: Верховний