Decodificador de certificados (PEM / X.509)

Cómo decodificar un certificado

1. Pega el certificado en el cuadro, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----. También se aceptan el DER en Base64 sin esas líneas y un volcado hex que empiece por 30 82.
2. O suelta en el cuadro un archivo .pem, .crt, .cer, .der, .p7b o .crl. Los archivos DER binarios funcionan; no hace falta convertirlos antes.
3. Lee la tarjeta. Cada objeto de la entrada tiene la suya, así que un fullchain.pem con tres certificados muestra tres tarjetas.
4. Abre Estructura ASN.1 bajo una tarjeta cuando necesites el árbol en bruto, por ejemplo para encontrar una extensión que el resumen agrupa en Otras extensiones.

El botón Ejemplo carga un certificado de demostración si solo quieres ver el diseño.

Qué muestra el decodificador

Cadenas, paquetes y archivos mixtos

Los servidores suelen enviar una cadena: primero el certificado final y después uno o varios intermedios. Pega el fullchain.pem completo y recorre las tarjetas: el emisor de la tarjeta 1 debe ser el sujeto de la tarjeta 2, y los valores AKI/SKI deben encajar del mismo modo. Un orden incorrecto o un intermedio que falta es la causa habitual de los errores “unable to get local issuer certificate” en clientes que no descargan los intermedios por su cuenta.

También se abre un paquete PKCS#7 (-----BEGIN PKCS7-----, a menudo un .p7b de Windows o del portal de una CA), y cada certificado que contiene tiene su propia tarjeta. Puedes además mezclar tipos de objeto en un mismo pegado: un certificado, su CSR y su clave privada. Si las tres líneas Pin SPKI SHA-256 son idénticas, la clave, la solicitud y el certificado pertenecen al mismo par de claves.

Reconocer datos de certificados por sus primeros caracteres

Sin las líneas de cabecera, un certificado es solo el Base64 de un DER, y el DER siempre empieza con un byte SEQUENCE 0x30. Eso da unos cuantos prefijos que conviene conocer:

El cuarto carácter depende de los bytes de longitud, y por eso cambia con el tamaño. Encontrarás más patrones en prefijos Base64 habituales.

Decodificar un certificado con OpenSSL

Los mismos campos desde la línea de comandos:

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl x509 -in cert.pem -noout -fingerprint -sha256
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl base64

La última línea imprime el pin SPKI, que coincide con el que se muestra aquí. Para obtener la cadena que envía un servidor real, ejecuta openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null y pega la salida: el decodificador extrae los bloques PEM del texto que los rodea. Tienes más comandos de una línea en la página de Base64 con OpenSSL.

Problemas habituales

• “Se encontró una línea —–BEGIN pero ninguna línea —–END con la misma etiqueta”: la copia quedó cortada. Vuelve a copiarla o suelta el archivo.
• “No es PEM ni DER en Base64 válido”: la entrada no es ninguna de las dos cosas. Las causas típicas son un archivo binario abierto en un editor de texto y pegado, o un Base64 que perdió caracteres al pasar por un cliente de chat o de correo.
• “Esto es una clave pública SSH, no PEM”: las líneas ssh-ed25519 AAAA… van en la herramienta de huellas de claves SSH. Lo mismo vale para -----BEGIN OPENSSH PRIVATE KEY-----.
• Las huellas muestran “Requiere una página segura (https)”: los hashes usan la API WebCrypto del navegador, que solo funciona en https o localhost. Abre la página por https.
• Un archivo .pfx o .p12: el contenido PKCS#12 está cifrado con la contraseña de exportación, así que solo se puede mostrar la estructura exterior. Extrae antes el certificado con openssl pkcs12 -in file.pfx -nokeys -out cert.pem.

Preguntas frecuentes