Decodificador de Certificados SSL (X.509)

Cole um certificado SSL/TLS em formato PEM para decodificar instantaneamente seu titular, emissor, período de validade, SAN, número de série, algoritmo de chave pública e impressões digitais SHA-1/SHA-256. Ferramenta gratuita que também funciona offline com certificados autoassinados e de CA interna.

O que é o Decodificador de Certificados SSL

O Decodificador de Certificados SSL é uma ferramenta gratuita que, ao colar um certificado SSL/TLS em formato PEM, lista de uma só vez o titular, o emissor, o período de validade, as entradas SAN, o número de série, o algoritmo de chave pública, o algoritmo de assinatura e as impressões digitais. A análise da estrutura binária ASN.1 DER subjacente ocorre no servidor, de modo que qualquer pessoa pode inspecionar o conteúdo de um certificado sem precisar da linha de comando do OpenSSL nem de nenhum software especial.

Ao contrário de um verificador de SSL em tempo real (que se conecta a um domínio público pela internet e obtém o certificado por meio de um handshake TLS real), esta ferramenta decodifica diretamente o texto PEM que você colar. Isso significa que ela também consegue inspecionar certificados que um verificador em tempo real simplesmente não alcança: certificados ainda não implantados em produção, certificados autoassinados ou de uma CA interna em uma rede privada, e arquivos de certificado que você já tem salvos localmente.

Como usar o Decodificador de Certificados SSL

Cole seu certificado PEM Cole o texto que começa com "-----BEGIN CERTIFICATE-----" diretamente na caixa de texto.
Vários certificados são suportados Cole uma cadeia completa (certificado folha mais intermediários) e cada bloco é detectado automaticamente.
Clique em "Decodificar" Confira a quantidade de certificados detectados e clique no botão para analisá-los no servidor.
Analise os resultados Titular, emissor, período de validade, SAN, impressões digitais e mais são listados para cada certificado.

Dicas para aproveitar melhor

Você pode colar uma cadeia de certificados inteira (certificado do servidor mais intermediários) de uma só vez: cada bloco é separado e decodificado individualmente.
Compare a impressão digital SHA-256 exibida aqui com o valor publicado pela autoridade certificadora ou pelo fornecedor para confirmar que o certificado não foi trocado nem adulterado.
Um certificado cujo Titular e Emissor são idênticos é autoassinado, e aparece marcado com um selo específico nos resultados.
Clique em "Carregar certificado de exemplo" antes de colar o seu próprio para ver exatamente como fica o resultado.
Antes de colocar em produção um certificado multidomínio, confirme sempre que todos os nomes de host necessários estão listados no SAN.

Quando usar esta ferramenta

Diagnosticar erros de expiração

Quando o navegador exibe um aviso de certificado expirado, verifique diretamente o horário exato de validTo.

Verificar o SAN antes de entrar em produção

Antes de trocar um certificado multidomínio, confirme que todos os nomes de host necessários realmente constam na extensão SAN.

Auditar a força da chave

Durante uma revisão de segurança, confirme o algoritmo e o comprimento da chave pública, por exemplo RSA de 2048 bits ou mais, ou qual curva EC é usada.

Inspecionar certificados internos ou autoassinados

Decodifique certificados de sistemas internos ou CAs privadas que um verificador em tempo real baseado em domínio não consegue alcançar.

Glossário

PEM: Um formato de texto que envolve dados DER codificados em Base64 entre linhas "-----BEGIN CERTIFICATE-----" e "-----END CERTIFICATE-----". É a forma mais comum de armazenar e trocar certificados.
X.509: O padrão internacional que define a estrutura dos certificados de chave pública. É a base não só do TLS/SSL, mas também do S/MIME e da assinatura de código.
ASN.1 / DER: As regras de codificação binária que definem estritamente a estrutura interna do certificado. O PEM é simplesmente esses dados DER codificados como texto Base64.
SAN (Nome Alternativo do Titular): Uma extensão que lista os nomes de host ou endereços IP adicionais para os quais o certificado é válido. É obrigatória em qualquer certificado que cubra vários domínios.
Impressão digital: Um hash de todo o certificado, usado para verificar se ele não foi trocado nem adulterado.
Certificado autoassinado: Um certificado cujo Emissor e Titular são idênticos, o que significa que não foi verificado por uma autoridade certificadora (CA) externa.

Perguntas frequentes

Ele é enviado ao servidor uma única vez para ser analisado, mas não é armazenado nem registrado permanentemente. Ainda assim, evite colar certificados que contenham informações sensíveis que você preferiria não processar.

Não. Esta ferramenta só aceita certificados públicos que começam com "-----BEGIN CERTIFICATE-----". Nunca cole uma chave privada em nenhuma ferramenta on-line, incluindo esta.

As causas mais comuns são a ausência das linhas BEGIN/END, conteúdo Base64 corrompido, ou ter colado uma chave privada ou um CSR (solicitação de assinatura de certificado) em vez de um certificado de verdade.

O verificador ao vivo se conecta a um domínio público pela internet e obtém o certificado por meio de um handshake TLS real. Esta ferramenta, em vez disso, decodifica o texto PEM que você colar, funcionando também com certificados autoassinados e de CA interna que o verificador ao vivo não consegue alcançar.

Curiosidade — Por que um certificado parece um amontoado ilegível de caracteres

Ao abrir um arquivo de certificado, geralmente você encontra um bloco de texto denso e ilegível começando com "-----BEGIN CERTIFICATE-----". Esse formato se chama PEM (Privacy-Enhanced Mail) e, por baixo dele, não há nada além de dados binários codificados em DER — uma estrutura definida por uma notação chamada ASN.1 — envolvidos em Base64 para poderem trafegar com segurança por sistemas de e-mail e arquivos de texto simples. Em outras palavras, o PEM é apenas o DER "vestido" de outra forma; o conteúdo real é definido estritamente como uma série de elementos ASN.1 TLV (tag, comprimento, valor), e o trabalho desta ferramenta é decodificar essa estrutura binária em algo que um ser humano consiga ler.

O próprio nome "X.509" tem uma história inesperada. Foi definido originalmente pela ITU-T (União Internacional de Telecomunicações) em 1988 como parte do padrão de serviços de diretório X.500, muito antes de a web moderna existir. Mais tarde foi adaptado para uso na internet pelo IETF como RFC 2459 em 1999, e hoje a RFC 5280 é a especificação vigente. Os certificados existem nas versões v1, v2 e v3, e campos de extensão como o SAN (Nome Alternativo do Titular) só ficaram disponíveis a partir da v3. Praticamente todo certificado TLS emitido hoje é v3, e esta ferramenta assume extensões do tipo v3 ao decodificar.

É comum ver uma impressão digital SHA-1 e outra SHA-256 exibidas lado a lado para o mesmo certificado. O SHA-1 foi descontinuado como algoritmo de assinatura desde que ataques práticos de colisão foram demonstrados contra ele, mas ainda aparece como impressão digital para identificar um certificado de forma única, principalmente por compatibilidade com ferramentas mais antigas, e é por isso que esta ferramenta exibe os dois valores. Para qualquer nova verificação, o ideal é priorizar o valor SHA-256.

Ver todas as curiosidades