使用步骤
- 粘贴证书、证书链、CSR 或私钥的 PEM 文本，也可以点「打开文件」选择 .pem、.crt、.cer、.key 文件（DER 格式也可以）。
- 每一段内容分别显示成一张卡片；证书有到期提醒，私钥会显示是否与证书配对。
- 粘贴多张证书时，上方会显示证书链顺序检查结果。
参数说明
- 包含的域名（SAN）
- 证书实际生效的域名列表；浏览器只看这里，不看使用者里的 CN。
- 验证级别
- 按证书策略判断是 DV（只验证域名）、OV（验证组织）还是 EV。
- 公钥 SHA-256（SPKI）
- 公钥的指纹，用于证书固定（pinning）；同一个私钥续签出来的证书这个值不变。
会读取哪些块，检查如何进行
解码器在每个 -----BEGIN …----- 行处拆分你的文本，并处理下面这些标签：
| PEM 标签 | 显示为 |
|---|---|
CERTIFICATE、X509 CERTIFICATE、TRUSTED CERTIFICATE |
证书 |
CERTIFICATE REQUEST、NEW CERTIFICATE REQUEST |
证书签名请求（CSR） |
PRIVATE KEY、RSA PRIVATE KEY、EC PRIVATE KEY |
私钥 |
PUBLIC KEY |
公钥 |
ENCRYPTED PRIVATE KEY，或带有 Proc-Type: 4,ENCRYPTED 头的旧式密钥 |
加密的私钥（不解析） |
其他任何标签都会被报为无法读取。完全没有 PEM 头的文本会尝试按纯 base64 的 DER 处理；用「打开文件」选择的文件如果是原始 DER，会被猜测为证书、CSR 或密钥。
「验证级别」来自 CA/Browser Forum 定义的证书策略标识：
| 策略 OID | 级别 |
|---|---|
| 2.23.140.1.2.1 | DV（域名验证） |
| 2.23.140.1.2.2 | OV（组织验证） |
| 2.23.140.1.2.3 | IV（个人验证） |
| 2.23.140.1.1 | EV（扩展验证） |
没有这些策略的证书不显示验证级别。以 MD5 或 SHA-1 开头的签名算法会被标出，因为浏览器已不再信任它们。
粘贴多张证书时，证书链检查只比较名称：每张证书的颁发者必须是下一张证书的使用者。它会报告顺序错误、重复的证书，以及链中包含自签名的根证书。它不验证签名和信任，所以一条证书链可能在这里通过，在真实服务器上仍然失败。
常见问题
怎样判断私钥和证书是否匹配？
把私钥和证书一起粘贴进来。工具比较私钥里的公钥和证书里的公钥，一致就是配对的，nginx 报 key values mismatch 时可以先用这个排查。
证书链应该按什么顺序？
网站证书在最前面，然后是签发它的中间证书，依次往上；根证书一般不用放。顺序反了，部分客户端会报证书错误。
粘贴私钥安全吗？
解析全部在浏览器里完成，私钥不会发送到任何服务器。设置了密码的私钥不做解析。
能验证证书是否可信、有没有被吊销吗？
不能，这里只读取文件内容。要检查网站实际使用的证书是否可信，请用 SSL 证书检测。
隐私说明
本工具完全在浏览器中运行，文件和文本都在你的设备上处理，不会上传到我们的服务器。