Come si usa
- Incolla il testo PEM di un certificato, una catena, un CSR o una chiave privata, oppure fai clic su Apri file per scegliere un file .pem, .crt, .cer o .key (va bene anche il DER).
- Ogni blocco è mostrato in una scheda propria. I certificati mostrano i giorni alla scadenza; le chiavi private mostrano se corrispondono.
- Quando incolli più certificati, in alto compare il controllo dell'ordine della catena.
Opzioni spiegate
- Nomi alternativi del soggetto (SAN)
- I nomi per cui il certificato è valido. I browser usano questo elenco, non il CN del soggetto.
- Livello di convalida
- DV (solo dominio), OV (organizzazione) o EV, letto dalle policy del certificato.
- SPKI SHA-256
- L'impronta della chiave pubblica usata per il pinning; resta uguale quando rinnovi con la stessa chiave.
Quali blocchi vengono letti e come funzionano i controlli
Il decodificatore divide il testo a ogni riga -----BEGIN …----- e gestisce queste etichette:
| Etichetta PEM | Mostrato come |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Certificato |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Richiesta di firma del certificato (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Chiave privata |
PUBLIC KEY |
Chiave pubblica |
ENCRYPTED PRIVATE KEY, oppure una chiave legacy con intestazione Proc-Type: 4,ENCRYPTED |
Chiave privata cifrata (non letta) |
Qualsiasi altra etichetta viene segnalata come illeggibile. Il testo senza alcuna intestazione PEM viene provato come DER in base64 semplice, e per un file scelto con Apri file che contiene DER grezzo si ipotizza che sia un certificato, una CSR o una chiave.
Il Livello di convalida deriva dagli identificatori di policy del certificato definiti dal CA/Browser Forum:
| OID della policy | Livello |
|---|---|
| 2.23.140.1.2.1 | DV (dominio convalidato) |
| 2.23.140.1.2.2 | OV (organizzazione convalidata) |
| 2.23.140.1.2.3 | IV (persona convalidata) |
| 2.23.140.1.1 | EV (convalida estesa) |
Un certificato senza nessuna di queste policy non mostra alcun livello di convalida. Gli algoritmi di firma che iniziano con MD5 o SHA-1 vengono segnalati, perché i browser non si fidano più di essi.
Con più certificati incollati, il controllo della catena confronta solo i nomi: l’emittente di ciascun certificato deve essere il soggetto del successivo. Segnala un ordine sbagliato, un certificato ripetuto e una radice autofirmata inclusa nella catena. Non verifica le firme né l’attendibilità, quindi una catena può superare il controllo qui e fallire comunque su un server reale.
Domande frequenti
Come verifico che una chiave privata corrisponda a un certificato?
Incolla entrambi. Lo strumento confronta la chiave pubblica contenuta nella chiave privata con quella del certificato. Usalo quando nginx segnala "key values mismatch".
In che ordine deve essere una catena di certificati?
Prima il certificato del server, poi l'intermedio che l'ha emesso, e così via risalendo la catena. La radice di solito si omette. Un ordine sbagliato fa fallire alcuni client.
È sicuro incollare una chiave privata?
Tutto viene analizzato nel tuo browser e nulla viene inviato a un server. Le chiavi protette da password non vengono analizzate.
Controlla l'attendibilità o la revoca?
No, legge soltanto il file. Per controllare il certificato servito da un sito online, usa il Controllo certificato SSL.
Privacy
Questo strumento funziona interamente nel tuo browser. File e testi vengono elaborati sul tuo dispositivo e non vengono mai caricati sui nostri server.