Cómo se usa
- Pega el texto PEM de un certificado, cadena, CSR o clave privada, o pulsa Abrir archivo para elegir un archivo .pem, .crt, .cer o .key (también sirve DER).
- Cada bloque se muestra en su propia tarjeta. Los certificados indican los días hasta que caducan; las claves privadas indican si coinciden.
- Si pegas varios certificados, arriba aparece la comprobación del orden de la cadena.
Opciones explicadas
- Nombres alternativos del titular (SAN)
- Los nombres para los que es válido el certificado. Los navegadores usan esta lista, no el CN del titular.
- Nivel de validación
- DV (solo dominio), OV (organización) o EV, leído de las políticas del certificado.
- SPKI SHA-256
- La huella de la clave pública que se usa para el pinning; no cambia si renuevas con la misma clave.
Qué bloques se leen y cómo funcionan las comprobaciones
El decodificador divide tu texto en cada línea -----BEGIN …----- y maneja estas etiquetas:
| Etiqueta PEM | Se muestra como |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Certificado |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Solicitud de firma de certificado (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Clave privada |
PUBLIC KEY |
Clave pública |
ENCRYPTED PRIVATE KEY, o una clave antigua con una cabecera Proc-Type: 4,ENCRYPTED |
Clave privada cifrada (no se lee) |
Cualquier otra etiqueta se notifica como ilegible. El texto sin ninguna cabecera PEM se prueba como DER en base64 simple, y un archivo elegido con «Abrir archivo» que contenga DER en bruto se supone que es un certificado, un CSR o una clave.
El Nivel de validación procede de los identificadores de política de certificado definidos por el CA/Browser Forum:
| OID de la política | Nivel |
|---|---|
| 2.23.140.1.2.1 | DV (dominio validado) |
| 2.23.140.1.2.2 | OV (organización validada) |
| 2.23.140.1.2.3 | IV (persona validada) |
| 2.23.140.1.1 | EV (validación extendida) |
Un certificado sin ninguna de estas políticas no muestra nivel de validación. Los algoritmos de firma que empiezan por MD5 o SHA-1 se señalan, porque los navegadores ya no se fían de ellos.
Con varios certificados pegados, la comprobación de la cadena compara solo los nombres: el emisor de cada certificado debe ser el titular del certificado siguiente. Informa de un orden incorrecto, de un certificado repetido y de una raíz autofirmada incluida en la cadena. No verifica firmas ni confianza, así que una cadena puede pasar aquí y aun así fallar en un servidor real.
Preguntas frecuentes
¿Cómo compruebo que una clave privada coincide con un certificado?
Pega ambos. La herramienta compara la clave pública contenida en la clave privada con la clave pública del certificado. Úsalo cuando nginx informe de "key values mismatch".
¿En qué orden debe estar una cadena de certificados?
Primero el certificado del servidor, después el intermedio que lo emitió, y así hacia arriba en la cadena. La raíz suele omitirse. Un orden incorrecto hace que algunos clientes fallen.
¿Es seguro pegar una clave privada?
Todo se analiza en tu navegador y no se envía nada a ningún servidor. Las claves protegidas con contraseña no se analizan.
¿Comprueba la confianza o la revocación?
No, solo lee el archivo. Para comprobar el certificado que sirve un sitio en vivo, usa el Comprobador de certificado SSL.
Privacidad
Esta herramienta funciona por completo en tu navegador. Tus archivos y textos se procesan en tu dispositivo y nunca se suben a nuestros servidores.