Cómo se usa
- Pegue un certificado en Certificado: el bloque PEM completo, o solo su Base64.
- Lea Sujeto y Emisor para ver para quién es el certificado y quién lo firmó.
- Compruebe Vigencia. Cuenta los días que quedan desde la fecha de hoy en su zona horaria.
- Compare la Huella SHA-256 con el valor que publican el sitio, el fabricante o la autoridad de certificación antes de confiar en el certificado.
Qué dice un certificado
Un certificado X.509 (RFC 5280) asocia una clave pública a un nombre, y lo firma un emisor. Se escribe en ASN.1 DER, un árbol de valores etiquetados. Un bloque PEM es ese DER escrito en Base64 entre una línea BEGIN y una línea END (RFC 7468). La página lee el árbol con su propio lector DER sencillo y muestra cada campo.
Certificate ::= SEQUENCE { tbsCertificate, signatureAlgorithm, signatureValue }
TBSCertificate ::= SEQUENCE { version [0], serialNumber, signature, issuer,
validity, subject, subjectPublicKeyInfo, ..., extensions [3] }Lo que la página no comprueba
La página no verifica la firma, no construye la cadena hasta una raíz de confianza, no comprueba si el certificado fue revocado y no se conecta al equipo. Un certificado puede leerse aquí como válido y aun así ser rechazado por un navegador o un servidor. Esas comprobaciones necesitan la clave pública del emisor y un almacén de confianza, que esta página no tiene.
Los días que quedan se cuentan desde la fecha de hoy hasta el día de la fecha No válido después de, contando los dos días. Un certificado revocado antes de esa fecha sigue mostrando sus fechas aquí, porque la página no lee ninguna lista de revocación ni consulta a un respondedor OCSP.
Huellas
Una huella es el hash de todos los bytes DER. Dos certificados con la misma huella SHA-256 son el mismo certificado. SHA-1 ya no resiste las colisiones, así que compare el valor SHA-256 cuando necesite certeza; el valor SHA-1 se muestra porque muchas listas antiguas todavía lo imprimen.
Ejemplo resuelto: la intermedia E5 de Let's Encrypt (la predeterminada)
El certificado por defecto es la intermedia E5 de Let's Encrypt, firmada con ECDSA P-384 por ISRG Root X2. La página lee estos campos. El estado de vigencia depende de la fecha en que se lea, así que no está en la tabla; los demás campos son los mismos cualquier día.
| Campo | Valor |
|---|---|
| Versión | 3 |
| Número de serie | 18:6E:75:D4:EE:B0:A0:5D:FD:2D:A8:20:86:5D:1E:31 |
| Algoritmo de firma | ECDSA con SHA-384 (1.2.840.10045.4.3.3) |
| Emisor | C=US, O=Internet Security Research Group, CN=ISRG Root X2 |
| Sujeto | C=US, O=Let's Encrypt, CN=E5 |
| No válido antes de | 13 de marzo de 2024 a las 00:00:00 UTC |
| No válido después de | 12 de marzo de 2027 a las 23:59:59 UTC |
| Clave pública | Curva elíptica P-384, 384 bits |
| Uso de la clave | Firma digital, Firma de certificados, Firma de CRL |
| Uso mejorado de la clave | Autenticación de cliente TLS, autenticación de servidor TLS |
| Restricciones básicas | CA: sí, longitud de ruta 0 |
| Huella SHA-256 | E7:88:D1:4B:04:36:B5:12:0B:BE:E3:F1:5C:15:BA:DF:08:C1:40:7F:E7:25:68:A4:F1:6F:91:51:C3:80:E1:E3 |
Preguntas frecuentes
¿Por qué la página dice que mi certificado es válido cuando mi navegador dice que no lo es?
La página lee solo las fechas y los campos. Un navegador comprueba también la firma, la cadena hasta una raíz de confianza, el nombre del equipo y si el certificado fue revocado. Esas comprobaciones necesitan datos que esta página no tiene.
¿Cuál es la diferencia entre las huellas SHA-1 y SHA-256?
Son dos hash de los mismos bytes DER. SHA-1 ya no resiste las colisiones, así que SHA-256 es la que hay que comparar cuando necesite certeza. El valor SHA-1 se muestra porque muchas listas antiguas todavía lo imprimen.
¿Qué contiene un bloque PEM que empieza por BEGIN CERTIFICATE?
PEM (RFC 7468) envuelve en Base64 los bytes DER de un certificado, entre una línea BEGIN y una línea END que llevan ambas la etiqueta CERTIFICATE. La página también acepta el texto Base64 por sí solo.
¿Por qué el tamaño de la clave se muestra en bits para RSA, pero como curva para ECDSA?
Una clave RSA se describe por la longitud de su módulo en bits. Una clave ECDSA se describe por su curva, como P-256 o P-384, que fija el tamaño de la clave.
¿Qué significa CA: sí, longitud de ruta 0?
El certificado puede firmar certificados de entidad final, pero no autoridades intermedias por debajo de él (RFC 5280, sección 4.2.1.9). Las restricciones básicas se leen del certificado y no se comprueban contra una cadena.
¿Envía la página mi certificado a algún sitio?
No. Los bytes DER se leen y las huellas se calculan en su navegador. No se sube ni se guarda nada, y la página no se conecta al equipo nombrado en el certificado.
Fuentes
- RFC 5280: perfil de certificados y CRL de la infraestructura de clave pública de Internet X.509 (en inglés)
- RFC 7468: codificaciones textuales de estructuras PKIX, PKCS y CMS (en inglés)
- ITU-T X.690: reglas de codificación ASN.1, DER (en inglés)
- Repositorio de certificados de Let's Encrypt (en inglés)
Cifras y texto revisados por última vez el martes, 10 de noviembre de 2026.