Utilia
Categorieën ▾
Taal: nl ▾

X.509-certificaatdecoder

Decodeer een SSL/TLS-certificaat, keten of CSR in je browser: onderwerp, uitgever, vervaldatum, SAN, sleutelgebruik, publieke sleutel en vingerafdruk.

Certificaten worden in je browser gedecodeerd. Er wordt niets geüpload, dus interne certificaten en CSR’s blijven op je computer.

Deze tool leest het certificaat, maar controleert de handtekening en de vertrouwensketen niet: een gedecodeerd certificaat is geen bewijs dat het echt is.

Zo decodeer je een certificaat

  1. Plak een certificaat in Certificaat, keten of CSR (PEM of Base64) of sleep een bestand naar het sleepvak. PEM-tekst (-----BEGIN CERTIFICATE-----), binaire DER (.der, .cer), een certificaataanvraag (.csr) en een PKCS#7-bundel (.p7b) worden allemaal geaccepteerd.
  2. Klik op Decoderen. Een geplakt PEM-blok wordt ook gedecodeerd zodra de regel -----END …----- compleet is. Voorbeeld laden toont een testcertificaat.
  3. Elk certificaat of elke CSR krijgt een eigen tabel. Een badge toont Datums geldig, Verlopen of Nog niet geldig, en PEM kopiëren kopieert het terug als PEM (handig nadat je een binair DER-bestand hebt geopend).
  4. Bij een keten (een servercertificaat gevolgd door de tussencertificaten) wordt elk blok op volgorde gedecodeerd, en de tool vermeldt Uitgegeven door certificaat n als de uitgever van een certificaat overeenkomt met het onderwerp van een ander certificaat in de lijst.

Wat de velden betekenen

  • Onderwerp (subject) en Uitgever (issuer) zijn distinguished names: CN (common name), O (organisatie), OU, L (plaats), ST (provincie of staat), C (land). Een certificaat waarvan de uitgever gelijk is aan het onderwerp, wordt gemarkeerd als Zelfondertekend.
  • Geldig vanaf en Geldig tot zijn de datums notBefore en notAfter, getoond in jouw tijdzone, met het aantal resterende dagen. Sinds 2020 weigeren browsers openbare TLS-certificaten die langer dan 398 dagen geldig zijn, en het CA/Browser Forum verkort die grens nog verder.
  • Serienummer wordt hexadecimaal getoond (zoals in browsers en OpenSSL) en decimaal.
  • Handtekeningalgoritme en Publieke sleutel: bij RSA de grootte van de modulus (2048, 3072, 4096 bits) en de publieke exponent (bijna altijd 65537); bij elliptische curves de curve (P-256, P-384…); Ed25519 wordt ook herkend.
  • Extensies: Subject Alternative Name (de hostnamen, IP-adressen en e-mailadressen waarvoor het certificaat geldt; browsers negeren de CN en gebruiken alleen de SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE voor een certificaatautoriteit), Subject en Authority Key Identifiers, CRL Distribution Points, Authority Information Access (OCSP-responder en URL van de CA Issuers) en Certificate Policies (DV, OV, EV). Extensies die als kritiek zijn gemarkeerd, moeten worden begrepen door alle software die het certificaat gebruikt.
  • SHA-1-vingerafdruk en SHA-256-vingerafdruk zijn hashes van het volledige DER-certificaat, berekend met de Web Crypto API van de browser; ze komen overeen met openssl x509 -fingerprint. De Pin van de publieke sleutel is de Base64-SHA-256 van de publieke-sleutelinformatie, het formaat dat voor certificate pinning wordt gebruikt.

Decoderen is niet verifiëren

Deze tool is een pure ASN.1/DER-parser. Hij controleert de handtekening niet, bouwt geen vertrouwensketen op naar een rootcertificaat en raadpleegt geen intrekkingslijsten of OCSP, want daarvoor is netwerktoegang nodig. Gebruik hem om een certificaat te bekijken en uit te zoeken waarom een hostnaam niet klopt of wanneer het verloopt, niet om te beslissen of je het kunt vertrouwen. Privésleutels worden bewust geweigerd: plak je een blok PRIVATE KEY, dan wordt het niet gedecodeerd, en als je het ooit hebt gedeeld, moet je het als gelekt beschouwen.

Veelgestelde vragen

Hoe krijg ik het certificaat van een website?

Klik in de meeste browsers op het slotje, open de certificaatweergave en exporteer het als PEM. Op de commandoregel toont openssl s_client -connect example.com:443 -showcerts de hele keten; plak de blokken hier.

Wat is het verschil tussen PEM en DER?

DER is de binaire codering van het certificaat. PEM is dezelfde reeks bytes in Base64 tussen de regels BEGIN en END, wat makkelijker te kopiëren en te plakken is. De tool leest beide en decodeert dezelfde inhoud.

Wat is een CSR?

Een certificaataanvraag (certificate signing request) is wat je naar een certificaatautoriteit stuurt: hij bevat het gevraagde onderwerp, de publieke sleutel en vaak de gevraagde SAN’s. Er staan nog geen uitgever, geldigheid of serienummer in; die voegt de autoriteit toe.

Waarom zegt mijn browser dat het certificaat ongeldig is terwijl de datums kloppen?

De datums zijn maar één controle. De hostnaam moet in de Subject Alternative Name staan, de keten moet naar een vertrouwd rootcertificaat leiden (een ontbrekend tussencertificaat is een veelvoorkomende oorzaak), het sleutelgebruik moet TLS toestaan en het certificaat mag niet zijn ingetrokken.

Is het veilig om hier een certificaat te plakken?

Ja. Een certificaat is openbare informatie die servers naar elke bezoeker sturen, en deze tool verwerkt het lokaal zonder het te uploaden. Alleen privésleutels moeten geheim blijven.

Vergelijkbare tools