Como usar
- Cole o texto PEM de um certificado, cadeia, CSR ou chave privada, ou clique em Abrir arquivo para escolher um arquivo .pem, .crt, .cer ou .key (DER também funciona).
- Cada bloco aparece em seu próprio cartão. Os certificados mostram os dias até expirar; as chaves privadas mostram se correspondem.
- Quando você cola vários certificados, a verificação da ordem da cadeia aparece no topo.
Opções explicadas
- Nomes alternativos do titular (SAN)
- Os nomes para os quais o certificado é válido. Os navegadores usam esta lista, não o CN do titular.
- Nível de validação
- DV (somente domínio), OV (organização) ou EV, lido das políticas do certificado.
- SPKI SHA-256
- A impressão digital da chave pública usada para pinning; ela não muda quando você renova com a mesma chave.
Quais blocos são lidos e como as verificações funcionam
O decodificador divide o seu texto em cada linha -----BEGIN …----- e trata estes rótulos:
| Rótulo PEM | Mostrado como |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Certificado |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Solicitação de assinatura de certificado (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Chave privada |
PUBLIC KEY |
Chave pública |
ENCRYPTED PRIVATE KEY, ou uma chave antiga com o cabeçalho Proc-Type: 4,ENCRYPTED |
Chave privada criptografada (não lida) |
Qualquer outro rótulo é informado como ilegível. Um texto sem nenhum cabeçalho PEM é tentado como DER em base64 simples, e um arquivo escolhido com Abrir arquivo que contenha DER bruto é identificado por tentativa como certificado, CSR ou chave.
O Nível de validação vem dos identificadores de política de certificado definidos pelo CA/Browser Forum:
| OID da política | Nível |
|---|---|
| 2.23.140.1.2.1 | DV (domínio validado) |
| 2.23.140.1.2.2 | OV (organização validada) |
| 2.23.140.1.2.3 | IV (pessoa validada) |
| 2.23.140.1.1 | EV (validação estendida) |
Um certificado sem nenhuma dessas políticas não mostra nível de validação. Algoritmos de assinatura que começam com MD5 ou SHA-1 são sinalizados, porque os navegadores não confiam mais neles.
Com vários certificados colados, a verificação da cadeia compara apenas nomes: o emissor de cada certificado deve ser o titular do certificado seguinte. Ela informa uma ordem errada, um certificado repetido e uma raiz autoassinada incluída na cadeia. Ela não verifica assinaturas nem confiança, então uma cadeia pode passar aqui e ainda assim falhar em um servidor real.
Perguntas frequentes
Como conferir se uma chave privada corresponde a um certificado?
Cole os dois. A ferramenta compara a chave pública contida na chave privada com a chave pública do certificado. Use quando o nginx informar "key values mismatch".
Em que ordem deve ficar uma cadeia de certificados?
Primeiro o certificado do servidor, depois o intermediário que o emitiu, e assim por diante até o topo da cadeia. A raiz geralmente fica de fora. Uma ordem errada faz alguns clientes falharem.
É seguro colar uma chave privada?
Tudo é analisado no seu navegador e nada é enviado a um servidor. Chaves protegidas por senha não são analisadas.
Ela verifica confiança ou revogação?
Não, apenas lê o arquivo. Para verificar o certificado que um site no ar entrega, use o Verificador de Certificado SSL.
Privacidade
Esta ferramenta funciona inteiramente no seu navegador. Seus arquivos e textos são processados no seu dispositivo e nunca são enviados aos nossos servidores.