Zo gebruik je het
- Plak de PEM-tekst van een certificaat, keten, CSR of privésleutel, of klik op Bestand openen om een .pem-, .crt-, .cer- of .key-bestand te kiezen (DER werkt ook).
- Elk blok wordt op een eigen kaart getoond. Certificaten tonen de dagen tot de vervaldatum; privésleutels tonen of ze passen.
- Als je meerdere certificaten plakt, verschijnt bovenaan de controle van de ketenvolgorde.
Opties uitgelegd
- Alternatieve onderwerpnamen (SAN)
- De namen waarvoor het certificaat geldig is. Browsers gebruiken deze lijst, niet de CN in het onderwerp.
- Validatieniveau
- DV (alleen domein), OV (organisatie) of EV, afgelezen uit het certificaatbeleid.
- SPKI SHA-256
- De vingerafdruk van de openbare sleutel die voor pinning wordt gebruikt; hij blijft gelijk als je met dezelfde sleutel verlengt.
Welke blokken worden gelezen en hoe de controles werken
De decoder splitst je tekst bij elke regel -----BEGIN …----- en verwerkt deze labels:
| PEM-label | Getoond als |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Certificaat |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Certificaataanvraag (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Privésleutel |
PUBLIC KEY |
Publieke sleutel |
ENCRYPTED PRIVATE KEY, of een oude sleutel met een header Proc-Type: 4,ENCRYPTED |
Versleutelde privésleutel (niet gelezen) |
Elk ander label wordt als onleesbaar gemeld. Tekst zonder PEM-header wordt geprobeerd als gewone base64-DER, en van een bestand dat via Bestand openen is gekozen en ruwe DER bevat, wordt geraden of het een certificaat, CSR of sleutel is.
Het Validatieniveau komt uit de certificaatbeleidsidentificaties die door het CA/Browser Forum zijn gedefinieerd:
| Beleids-OID | Niveau |
|---|---|
| 2.23.140.1.2.1 | DV (domeingevalideerd) |
| 2.23.140.1.2.2 | OV (organisatiegevalideerd) |
| 2.23.140.1.2.3 | IV (individueel gevalideerd) |
| 2.23.140.1.1 | EV (uitgebreide validatie) |
Een certificaat met geen van deze beleidsregels toont geen validatieniveau. Handtekeningalgoritmen die met MD5 of SHA-1 beginnen, worden gemarkeerd, omdat browsers ze niet meer vertrouwen.
Als er meerdere certificaten zijn geplakt, vergelijkt de ketencontrole alleen namen: de uitgever van elk certificaat moet het onderwerp van het volgende certificaat zijn. Hij meldt een verkeerde volgorde, een herhaald certificaat en een zelfondertekend rootcertificaat in de keten. Hij controleert geen handtekeningen of vertrouwen, dus een keten kan hier slagen en toch falen op een echte server.
Veelgestelde vragen
Hoe controleer ik of een privésleutel bij een certificaat past?
Plak beide. De tool vergelijkt de openbare sleutel in de privésleutel met de openbare sleutel van het certificaat. Gebruik het als nginx "key values mismatch" meldt.
In welke volgorde moet een certificaatketen staan?
Eerst het servercertificaat, dan het tussencertificaat dat het heeft uitgegeven, en zo verder omhoog in de keten. De root wordt meestal weggelaten. Een verkeerde volgorde laat sommige clients falen.
Is het veilig om een privésleutel te plakken?
Alles wordt in je browser verwerkt en er wordt niets naar een server verstuurd. Met een wachtwoord beveiligde sleutels worden niet verwerkt.
Controleert het vertrouwen of intrekking?
Nee, het leest alleen het bestand. Gebruik de SSL-checker om het certificaat te controleren dat een live website levert.
Privacy
Deze tool draait volledig in je browser. Je bestanden en tekst worden op je eigen apparaat verwerkt en nooit naar onze servers geüpload.