Как пользоваться
- Вставьте PEM-текст сертификата, цепочки, CSR или закрытого ключа либо нажмите Открыть файл и выберите файл .pem, .crt, .cer или .key (DER тоже подходит).
- Каждый блок показан отдельной карточкой. У сертификатов указано число дней до истечения, у закрытых ключей — подходят ли они.
- Если вставлено несколько сертификатов, вверху появится проверка порядка цепочки.
Описание параметров
- Альтернативные имена субъекта (SAN)
- Имена, для которых действителен сертификат. Браузеры используют этот список, а не CN в субъекте.
- Уровень проверки
- DV (только домен), OV (организация) или EV; определяется по политикам сертификата.
- SPKI SHA-256
- Отпечаток открытого ключа для пиннинга; не меняется, если продлевать сертификат с тем же ключом.
Какие блоки читаются и как работают проверки
Декодер разбивает ваш текст по каждой строке -----BEGIN …----- и обрабатывает следующие метки:
| Метка PEM | Как показывается |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Сертификат |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Запрос на подпись сертификата (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Закрытый ключ |
PUBLIC KEY |
Открытый ключ |
ENCRYPTED PRIVATE KEY или устаревший ключ с заголовком Proc-Type: 4,ENCRYPTED |
Зашифрованный закрытый ключ (не читается) |
Любая другая метка сообщается как нечитаемая. Текст вообще без заголовка PEM пробуется как простой base64 DER, а файл, выбранный через «Открыть файл» и содержащий «сырой» DER, определяется как сертификат, CSR или ключ по догадке.
«Уровень проверки» определяется по идентификаторам политики сертификата, заданным CA/Browser Forum:
| OID политики | Уровень |
|---|---|
| 2.23.140.1.2.1 | DV (проверка домена) |
| 2.23.140.1.2.2 | OV (проверка организации) |
| 2.23.140.1.2.3 | IV (проверка физлица) |
| 2.23.140.1.1 | EV (расширенная проверка) |
Сертификат без любой из этих политик не показывает уровня проверки. Алгоритмы подписи, начинающиеся с MD5 или SHA-1, отмечаются, потому что браузеры им больше не доверяют.
Если вставлено несколько сертификатов, проверка цепочки сравнивает только имена: издатель каждого сертификата должен быть субъектом следующего. Она сообщает о неверном порядке, повторяющемся сертификате и о самоподписанном корневом сертификате, включённом в цепочку. Подписи и доверие она не проверяет, поэтому цепочка может пройти здесь проверку и всё равно не пройти её на реальном сервере.
Часто задаваемые вопросы
Как проверить, что закрытый ключ подходит к сертификату?
Вставьте оба. Инструмент сравнивает открытый ключ внутри закрытого ключа с открытым ключом сертификата. Это полезно, когда nginx сообщает «key values mismatch».
В каком порядке должна идти цепочка сертификатов?
Сначала сертификат сервера, затем промежуточный, который его выпустил, и так далее вверх по цепочке. Корневой обычно опускают. Неверный порядок приводит к ошибкам у некоторых клиентов.
Безопасно ли вставлять закрытый ключ?
Всё разбирается в вашем браузере, на сервер ничего не отправляется. Ключи, защищённые паролем, не разбираются.
Проверяет ли он доверие или отзыв?
Нет, он только читает файл. Чтобы проверить сертификат, который отдаёт работающий сайт, используйте инструмент Проверка SSL-сертификата.
Конфиденциальность
Этот инструмент работает полностью в браузере. Ваши файлы и текст обрабатываются на вашем устройстве и никогда не загружаются на наши серверы.