Utilia
Kategorie ▾
Język: pl ▾

Dekoder certyfikatów X.509 (SSL)

Zdekoduj certyfikat SSL/TLS, łańcuch lub CSR w przeglądarce. Zobacz podmiot, wystawcę, datę ważności, SAN, użycie klucza, klucz publiczny i odcisk SHA-256.

Certyfikaty są dekodowane w twojej przeglądarce. Nic nie jest przesyłane, więc wewnętrzne certyfikaty i żądania CSR zostają na twoim komputerze.

To narzędzie odczytuje certyfikat, ale nie weryfikuje jego podpisu ani łańcucha zaufania: zdekodowany certyfikat nie dowodzi, że jest autentyczny.

Jak zdekodować certyfikat

  1. Wklej certyfikat w pole Certyfikat, łańcuch lub CSR (PEM lub Base64) albo upuść plik na pole upuszczania. Akceptowane są tekst PEM (-----BEGIN CERTIFICATE-----), binarny DER (.der, .cer), żądanie podpisania certyfikatu (.csr) i pakiet PKCS#7 (.p7b).
  2. Kliknij Dekoduj. Wklejony blok PEM jest też dekodowany od razu, gdy kompletna jest jego linia -----END …-----. Wczytaj przykład pokazuje certyfikat testowy.
  3. Każdy certyfikat lub CSR dostaje własną tabelę. Plakietka pokazuje Daty ważne, Wygasł albo Jeszcze nieważny, a Kopiuj PEM kopiuje go z powrotem jako PEM (przydatne po otwarciu binarnego pliku DER).
  4. W przypadku łańcucha (certyfikat serwera, a po nim certyfikaty pośrednie) każdy blok jest dekodowany po kolei, a narzędzie zaznacza Wystawiony przez certyfikat n, gdy wystawca certyfikatu odpowiada podmiotowi innego certyfikatu z listy.

Co oznaczają pola

  • Podmiot i Wystawca to nazwy wyróżniające (DN): CN (nazwa pospolita), O (organizacja), OU, L (miejscowość), ST (województwo, stan lub prowincja), C (kraj, np. PL). Certyfikat, którego wystawca jest równy podmiotowi, jest oznaczany jako samopodpisany.
  • Ważny od i Ważny do to daty notBefore i notAfter, pokazywane w twojej strefie czasowej, razem z liczbą pozostałych dni. Od 2020 r. przeglądarki odrzucają publiczne certyfikaty TLS ważne dłużej niż 398 dni, a CA/Browser Forum dalej skraca ten limit.
  • Numer seryjny jest pokazywany szesnastkowo (jak w przeglądarkach i OpenSSL) oraz dziesiętnie.
  • Algorytm podpisu i Klucz publiczny: dla RSA rozmiar modułu (2048, 3072, 4096 bitów) i wykładnik publiczny (prawie zawsze 65537); dla krzywych eliptycznych – krzywa (P-256, P-384…); rozpoznawany jest też Ed25519.
  • Rozszerzenia: Subject Alternative Name (nazwy hostów, adresy IP i adresy e-mail objęte certyfikatem; przeglądarki ignorują CN i używają tylko SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE dla urzędu certyfikacji), Subject i Authority Key Identifier, CRL Distribution Points, Authority Information Access (adres respondera OCSP i CA Issuers) oraz Certificate Policies (DV, OV, EV). Rozszerzenia oznaczone jako krytyczne muszą być rozumiane przez każde oprogramowanie, które używa certyfikatu.
  • Odcisk SHA-1 i Odcisk SHA-256 to skróty całego certyfikatu DER, liczone przez Web Crypto API przeglądarki; zgadzają się z openssl x509 -fingerprint. Pin klucza publicznego to SHA-256 informacji o kluczu publicznym w Base64 – format używany przy przypinaniu certyfikatów (pinning).

Dekodowanie to nie weryfikacja

To narzędzie jest czystym parserem ASN.1/DER. Nie sprawdza podpisu, nie buduje łańcucha zaufania do urzędu głównego i nie odpytuje list unieważnień ani OCSP, bo wymagałoby to dostępu do sieci. Używaj go, aby obejrzeć certyfikat, sprawdzić, dlaczego nazwa hosta się nie zgadza albo kiedy certyfikat wygasa, a nie aby rozstrzygać, czy można mu ufać. Klucze prywatne są celowo odrzucane: jeśli wkleisz blok PRIVATE KEY, nie zostanie zdekodowany, a jeśli kiedykolwiek go komuś udostępniłeś, traktuj go jako ujawniony.

Najczęściej zadawane pytania

Jak pobrać certyfikat strony internetowej?

W większości przeglądarek kliknij ikonę kłódki, otwórz podgląd certyfikatu i wyeksportuj go jako PEM. W wierszu poleceń openssl s_client -connect example.com:443 -showcerts wypisze cały łańcuch; wklej tu poszczególne bloki.

Czym różni się PEM od DER?

DER to binarne kodowanie certyfikatu. PEM to te same bajty w Base64 między liniami BEGIN i END, co łatwiej skopiować i wkleić. Narzędzie odczytuje oba formaty i dekoduje tę samą zawartość.

Czym jest CSR?

Żądanie podpisania certyfikatu (CSR) to to, co wysyłasz do urzędu certyfikacji: zawiera wnioskowany podmiot, klucz publiczny i często wnioskowane nazwy SAN. Nie ma jeszcze wystawcy, okresu ważności ani numeru seryjnego – dodaje je urząd.

Dlaczego przeglądarka twierdzi, że certyfikat jest nieprawidłowy, choć daty są w porządku?

Daty to tylko jedno ze sprawdzeń. Nazwa hosta musi występować w Subject Alternative Name, łańcuch musi prowadzić do zaufanego certyfikatu głównego (brakujący certyfikat pośredni to częsta przyczyna), użycie klucza musi pozwalać na TLS, a certyfikat nie może być unieważniony.

Czy wklejanie certyfikatu tutaj jest bezpieczne?

Tak. Certyfikat to informacja publiczna, którą serwery wysyłają każdemu odwiedzającemu, a to narzędzie przetwarza go lokalnie, bez przesyłania. W tajemnicy muszą pozostać tylko klucze prywatne.

Podobne narzędzia