Декодер сертификатов (PEM / X.509)

Как расшифровать сертификат

1. Вставьте сертификат в поле вместе со строками -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----. «Сырой» DER в Base64 без этих строк и hex-дамп, начинающийся с 30 82, тоже принимаются.
2. Или перетащите в поле файл .pem, .crt, .cer, .der, .p7b или .crl. Двоичные файлы DER работают, конвертировать их заранее не нужно.
3. Читайте карточку. Каждый объект во вводе получает свою, так что fullchain.pem с тремя сертификатами покажет три карточки.
4. Если нужно «сырое» дерево, раскройте Структура ASN.1 под карточкой. Это пригодится, например, чтобы найти расширение, которое сводка перечисляет в Другие расширения.

Кнопка Пример загружает демонстрационный сертификат, если хочется просто посмотреть, как всё устроено.

Что показывает декодер

Цепочки, бандлы и смешанные файлы

Серверы обычно отдают цепочку: сначала конечный сертификат, затем один или несколько промежуточных. Вставьте весь fullchain.pem и пройдитесь по карточкам: издатель в карточке 1 должен быть субъектом в карточке 2, и значения AKI/SKI должны сходиться точно так же. Неправильный порядок или пропущенный промежуточный сертификат обычно и вызывает ошибки «unable to get local issuer certificate» в клиентах, которые сами не догружают промежуточные сертификаты.

Бандл PKCS#7 (-----BEGIN PKCS7-----, часто .p7b из Windows или портала CA) тоже открывается, и каждый сертификат внутри получает свою карточку. В одну вставку можно смешать и разные типы объектов: сертификат, его CSR и его закрытый ключ. Если три строки SPKI-пин SHA-256 совпадают, ключ, запрос и сертификат относятся к одной паре ключей.

Как узнать данные сертификата по первым символам

Без строк-заголовков от сертификата остаётся просто Base64 от DER, а DER всегда начинается с байта SEQUENCE 0x30. Отсюда несколько префиксов, которые полезно знать:

Четвёртый символ зависит от байтов длины, поэтому он меняется с размером. Больше шаблонов собрано в статье о частых префиксах Base64.

Как расшифровать сертификат через OpenSSL

Те же поля из командной строки:

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl x509 -in cert.pem -noout -fingerprint -sha256
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl base64

Последняя строка выводит SPKI-пин, и он совпадает с пином, показанным здесь. Чтобы получить цепочку, которую отдаёт живой сервер, выполните openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null и вставьте вывод: декодер сам выберет блоки PEM из окружающего текста. Больше однострочников собрано на странице про Base64 в OpenSSL.

Частые проблемы

• «Найдена строка —–BEGIN, но нет парной строки —–END»: копия обрезана. Скопируйте заново или перетащите файл.
• «Это не PEM и не корректный DER в Base64»: обычно это двоичный файл, открытый в текстовом редакторе и вставленный оттуда, или Base64, потерявший символы по пути через мессенджер или почтовый клиент.
• «Это открытый ключ SSH, а не PEM»: строкам ssh-ed25519 AAAA… место в инструменте для отпечатков SSH-ключей. Это же касается -----BEGIN OPENSSH PRIVATE KEY-----.
• Вместо отпечатков написано «Нужна защищённая страница (https)»: хеши считаются через WebCrypto API браузера, который работает только на https или localhost. Откройте страницу по https.
• Файл .pfx или .p12: содержимое PKCS#12 зашифровано паролем экспорта, поэтому показать можно только внешнюю структуру. Сначала извлеките сертификат командой openssl pkcs12 -in file.pfx -nokeys -out cert.pem.

Вопросы и ответы