证书解码器（PEM / X.509）

如何解码证书

1. 把证书粘贴到框中，包括 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 两行。不带这两行的原始 Base64 DER，以及以 30 82 开头的 hex 转储也可以。
2. 也可以把 .pem、.crt、.cer、.der、.p7b 或 .crl 文件拖到框中。二进制 DER 文件也能用，不需要先转换。
3. 查看卡片。输入中的每个对象都有一张卡片，所以包含三张证书的 fullchain.pem 会显示三张卡片。
4. 需要原始的树结构时，展开卡片下方的 ASN.1 结构，例如要查找摘要中列在 其他扩展 下的某个扩展。

如果只想看看布局，点击 示例 按钮会载入一张演示证书。

解码器显示的内容

证书链、证书包和混合文件

服务器通常会发送一条证书链：先是叶子证书，然后是一个或多个中间证书。粘贴整个 fullchain.pem，逐张查看卡片：卡片 1 的颁发者应当是卡片 2 的主体，AKI/SKI 的值也应以同样的方式对应。在不会自行获取中间证书的客户端中，顺序错误或缺少中间证书是出现“unable to get local issuer certificate”错误的常见原因。

PKCS#7 证书包（-----BEGIN PKCS7-----，常见于 Windows 或 CA 门户导出的 .p7b）同样可以打开，其中的每张证书都有自己的卡片。你还可以在一次粘贴中混合不同类型的对象：一张证书、它的 CSR 和它的私钥。如果三行 SPKI SHA-256 固定值（pin） 完全相同，说明密钥、请求和证书属于同一个密钥对。

根据开头的字符识别证书数据

去掉头尾两行后，证书就是 DER 的 Base64，而 DER 总是以 SEQUENCE 字节 0x30 开头。由此可以得出几个值得记住的前缀：

第四个字符取决于长度字节，所以会随大小变化。更多规律见 常见的 Base64 前缀。

用 OpenSSL 解码证书

在命令行中查看同样的字段：

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl x509 -in cert.pem -noout -fingerprint -sha256
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl base64

最后一行输出 SPKI 固定值，与这里显示的一致。要获取线上服务器发送的证书链，运行 openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 并粘贴输出：解码器会从周围的文本中挑出 PEM 块。更多单行命令见 OpenSSL Base64 页面。

常见问题

• “找到了 —–BEGIN 行，但没有标签相同的 —–END 行与之对应”：复制的内容被截断了。请重新复制，或者直接拖入文件。
• “既不是 PEM，也不是有效的 Base64 DER”：输入两者都不是。典型原因是用文本编辑器打开二进制文件后粘贴了内容，或者 Base64 在经过聊天或邮件客户端时丢了字符。
• “这是 SSH 公钥，不是 PEM”：ssh-ed25519 AAAA… 这样的行应该交给 SSH 密钥指纹工具。-----BEGIN OPENSSH PRIVATE KEY----- 也一样。
• 指纹显示“需要安全（https）页面”：哈希使用浏览器的 WebCrypto API，它只能在 https 或 localhost 下运行。请通过 https 打开页面。
• .pfx 或 .p12 文件：PKCS#12 的内容用导出密码加密，因此只能显示外层结构。请先用 openssl pkcs12 -in file.pfx -nokeys -out cert.pem 提取证书。

常见问题