Utilia
Kategorier ▾
Språk: sv ▾

X.509-certifikatavkodare

Avkoda ett SSL/TLS-certifikat, en kedja eller en CSR i din webbläsare. Se subjekt, utfärdare, utgångsdatum, SAN, nyckelanvändning och SHA-256-fingeravtryck.

Certifikaten avkodas i din webbläsare. Inget laddas upp, så interna certifikat och CSR:er stannar på din dator.

Verktyget läser certifikatet men verifierar inte dess signatur eller förtroendekedja: ett avkodat certifikat är inget bevis på att det är äkta.

Så avkodar du ett certifikat

  1. Klistra in ett certifikat i Certifikat, kedja eller CSR (PEM eller Base64), eller släpp en fil i släppytan. PEM-text (-----BEGIN CERTIFICATE-----), binär DER (.der, .cer), en certifikatsigneringsbegäran (.csr) och ett PKCS#7-paket (.p7b) godtas.
  2. Klicka på Avkoda. Ett inklistrat PEM-block avkodas också så fort raden -----END …----- är komplett. Ladda ett exempel visar ett testcertifikat.
  3. Varje certifikat eller CSR får en egen tabell. Ett märke visar Giltiga datum, Utgånget eller Inte giltigt än, och Kopiera PEM kopierar det tillbaka som PEM (praktiskt när du har öppnat en binär DER-fil).
  4. För en kedja (ett servercertifikat följt av dess mellanliggande certifikat) avkodas varje block i ordning, och verktyget anger Utfärdat av certifikat n när ett certifikats utfärdare stämmer med subjektet i ett annat certifikat i listan.

Vad fälten betyder

  • Subjekt och Utfärdare är så kallade distinguished names: CN (common name, vanligt namn), O (organisation), OU, L (ort), ST (delstat eller län), C (land, till exempel SE). Ett certifikat vars utfärdare är lika med subjektet markeras som Självsignerat.
  • Giltigt från och Giltigt till är datumen notBefore och notAfter, visade i din tidszon, med antalet dagar som återstår. Sedan 2020 avvisar webbläsare publika TLS-certifikat som är giltiga i mer än 398 dagar, och CA/Browser Forum förkortar gränsen ytterligare.
  • Serienummer visas hexadecimalt (som i webbläsare och OpenSSL) och decimalt.
  • Signaturalgoritm och Publik nyckel: för RSA modulens storlek (2048, 3072, 4096 bitar) och den publika exponenten (nästan alltid 65537), för elliptiska kurvor kurvan (P-256, P-384 …). Ed25519 känns också igen.
  • Tillägg: Subject Alternative Name (de värdnamn, IP-adresser och e-postadresser som certifikatet täcker – webbläsare ignorerar CN och använder bara SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning …), Basic Constraints (CA: TRUE för en certifikatutfärdare), Subject och Authority Key Identifier, CRL Distribution Points, Authority Information Access (OCSP-tjänst och URL till CA Issuers) och Certificate Policies (DV, OV, EV). Tillägg som är märkta kritiskt måste förstås av all programvara som använder certifikatet.
  • SHA-1-fingeravtryck och SHA-256-fingeravtryck är hashar av hela DER-certifikatet, beräknade med webbläsarens Web Crypto API. De stämmer med openssl x509 -fingerprint. Pin för publik nyckel är Base64-kodad SHA-256 av den publika nyckelinformationen, det format som används för certificate pinning.

Att avkoda är inte att verifiera

Verktyget är en ren ASN.1/DER-parser. Det kontrollerar inte signaturen, bygger ingen förtroendekedja till en rotutfärdare och frågar inte spärrlistor eller OCSP, eftersom det skulle kräva nätverksåtkomst. Använd det för att granska ett certifikat, ta reda på varför ett värdnamn inte stämmer eller när certifikatet går ut – inte för att avgöra om det går att lita på. Privata nycklar avvisas med avsikt: klistrar du in ett PRIVATE KEY-block avkodas det inte, och du bör betrakta nyckeln som röjd om du någonsin har delat den.

Vanliga frågor

Hur får jag tag i en webbplats certifikat?

I de flesta webbläsare klickar du på hänglåset, öppnar certifikatvisaren och exporterar certifikatet som PEM. På kommandoraden skriver openssl s_client -connect example.com:443 -showcerts ut hela kedjan. Klistra in blocken här.

Vad är skillnaden mellan PEM och DER?

DER är certifikatets binära kodning. PEM är samma byte i Base64 mellan raderna BEGIN och END, vilket är lättare att kopiera och klistra in. Verktyget läser båda och avkodar samma innehåll.

Vad är en CSR?

En certifikatsigneringsbegäran (CSR) är det du skickar till en certifikatutfärdare: den innehåller det begärda subjektet, den publika nyckeln och ofta de begärda SAN-namnen. Den har ännu ingen utfärdare, giltighetstid eller serienummer – det lägger utfärdaren till.

Varför säger webbläsaren att certifikatet är ogiltigt fast datumen stämmer?

Datumen är bara en av kontrollerna. Värdnamnet måste finnas i Subject Alternative Name, kedjan måste leda till en betrodd rot (ett saknat mellanliggande certifikat är en vanlig orsak), nyckelanvändningen måste tillåta TLS och certifikatet får inte vara spärrat.

Är det säkert att klistra in ett certifikat här?

Ja. Ett certifikat är offentlig information som servrar skickar till varje besökare, och verktyget behandlar det lokalt utan att ladda upp det. Det är bara privata nycklar som måste hållas hemliga.

Relaterade verktyg