X.509証明書デコーダー（SSL証明書解析）
PEM形式のSSL/TLS証明書を貼り付けるだけで、発行者・有効期限・SAN・シリアル番号・公開鍵アルゴリズム・フィンガープリントを瞬時に解析。自己署名証明書や社内CA証明書もオフラインで確認できる無料ツール。
X.509証明書デコーダーとは
X.509証明書デコーダーは、PEM形式のSSL/TLS証明書を貼り付けるだけで、Subject（サブジェクト）・Issuer（発行者）・有効期間・SAN・シリアル番号・公開鍵アルゴリズム・署名アルゴリズム・フィンガープリントといった情報を一覧表示する無料ツールです。ASN.1のDERバイナリ構造を解析する処理はサーバー側で行うため、ブラウザ単体では読み解けない証明書の中身を誰でも簡単に確認できます。
既存のSSL証明書チェッカー（ドメイン名を指定してライブのTLSハンドシェイクから証明書を取得するツール）とは異なり、本ツールはPEMテキストを直接貼り付ける方式のため、まだ公開していない証明書、社内CA・自己署名証明書、ダウンロード済みの証明書ファイルなど、ライブ取得では確認できない証明書も解析できます。
X.509証明書デコーダーの使い方
- PEM証明書を貼り付ける 「-----BEGIN CERTIFICATE-----」から始まるテキストを入力欄にそのまま貼り付けます。
- 複数証明書もそのまま貼り付け可能 サーバー証明書と中間CA証明書をまとめて貼り付けると、ブロックごとに自動検出されます。
- 「解析する」ボタンを押す 検出された証明書の件数を確認したら、ボタンを押してサーバー側で解析します。
- 結果を確認する Subject・Issuer・有効期間・SAN・フィンガープリント等が一覧表示されます。
使いこなすためのヒント
- 証明書チェーン（サーバー証明書＋中間CA証明書）をまとめて貼り付けても、ブロックごとに自動で分割して個別に解析します。
- 発行元が公表しているSHA-256フィンガープリントと一致するか照合すると、証明書のすり替え・改ざんがないか確認できます。
- SubjectとIssuerが完全に一致する証明書は自己署名証明書です。画面上に専用のバッジで表示されます。
- 自分の証明書を貼り付ける前に「サンプル証明書を挿入」ボタンで出力形式を確認しておくと安心です。
- SAN（Subject Alternative Name）に必要なドメインがすべて含まれているかは、本番切り替え前に必ず確認してください。
こんな場面で使えます
証明書の有効期限切れの原因調査
ブラウザで「証明書の有効期限が切れています」と表示された際、実際のvalidToの日時を直接確認できます。
本番切り替え前のSAN確認
マルチドメイン証明書を切り替える前に、必要なホスト名がすべてSANに含まれているか確認できます。
鍵強度の監査
セキュリティレビューでRSA 2048bit以上・EC曲線の使用など、公開鍵アルゴリズムと鍵長を確認できます。
社内CA・自己署名証明書の確認
外部からアクセスできない社内システムの証明書や、まだ本番発行していない証明書ファイルもそのまま解析できます。
用語集
- PEM
- Base64でエンコードしたDERデータを「-----BEGIN CERTIFICATE-----」等の行で囲んだテキスト形式。証明書のやり取りで最も一般的に使われます。
- X.509
- 公開鍵証明書の構造を定めた国際標準規格。TLS/SSLだけでなく、S/MIMEやコード署名でも使われています。
- ASN.1 / DER
- 証明書の中身を厳密に定義するバイナリ表現規則。PEMはこのDERデータを単にBase64化したものです。
- SAN（Subject Alternative Name）
- 証明書が有効なホスト名やIPアドレスを追加で列挙する拡張フィールド。複数ドメイン対応の証明書では必須です。
- フィンガープリント
- 証明書全体をハッシュ化した値。証明書がすり替えられていないかを照合する際に使います。
- 自己署名証明書
- IssuerとSubjectが同一の証明書。第三者の認証局（CA）による検証を受けていません。
よくある質問
余談ですが ― PEMはなぜ読みにくい文字の羅列なのか
証明書ファイルを開くと「-----BEGIN CERTIFICATE-----」から始まる読みにくい文字列が並んでいて、戸惑った経験がある方も多いのではないでしょうか。この形式はPEM（Privacy-Enhanced Mail）と呼ばれ、実体はASN.1という規格でバイナリ表現されたDER形式のデータを、メールやテキストファイルでも安全にやり取りできるようBase64でエンコードしたものです。つまりPEMはDERの「衣替え」に過ぎず、証明書の中身そのものはASN.1のTLV（タグ・長さ・値）構造として厳密に定義されています。本ツールはこのDERバイナリを解析し、人間が読める形に変換しています。
X.509という規格名を意外に思う方もいるかもしれません。もともとは1988年にITU-T（国際電気通信連合）がX.500ディレクトリサービスの一部として策定したもので、インターネット普及後の1999年にIETFがRFC 2459として再定義し、現在はRFC 5280が最新の仕様です。バージョンにはv1・v2・v3があり、SAN（Subject Alternative Name）のような拡張フィールドが使えるようになったのはv3からです。現在発行されるTLS証明書はほぼ全てv3であり、本ツールもv3の拡張フィールドを前提に解析しています。
証明書の「フィンガープリント」はSHA-1とSHA-256の2種類が並んで表示されることがよくあります。SHA-1は衝突攻撃の実例が報告されて以降、署名アルゴリズムとしては非推奨とされていますが、証明書全体をハッシュ化して一意に識別する用途ではまだ参照されることがあり、古いツールとの互換性のために本ツールも両方を表示しています。新しい照合作業ではSHA-256を優先して使うことをおすすめします。