Como usar
- Cole um certificado em Certificado: o bloco PEM inteiro, ou só o seu Base64.
- Leia Titular e Emissor para ver para quem o certificado é e quem o assinou.
- Confira a Validade. Ela conta os dias restantes a partir da data de hoje no seu fuso horário.
- Compare a Impressão digital SHA-256 com o valor que o site, o fornecedor ou a autoridade certificadora publica antes de confiar no certificado.
O que um certificado diz
Um certificado X.509 (RFC 5280) liga uma chave pública a um nome e é assinado por um emissor. Ele é escrito em ASN.1 DER, uma árvore de valores marcados. Um bloco PEM é esse DER escrito em Base64 entre uma linha BEGIN e uma linha END (RFC 7468). A página lê a árvore com um pequeno leitor de DER próprio e mostra cada campo.
Certificate ::= SEQUENCE { tbsCertificate, signatureAlgorithm, signatureValue }
TBSCertificate ::= SEQUENCE { version [0], serialNumber, signature, issuer,
validity, subject, subjectPublicKeyInfo, ..., extensions [3] }O que a página não verifica
A página não verifica a assinatura, não monta a cadeia até uma raiz confiável, não confere se o certificado foi revogado e não se conecta ao host. Um certificado pode aparecer como válido aqui e mesmo assim ser recusado por um navegador ou um servidor. Essas verificações precisam da chave pública do emissor e de um repositório de confiança, que esta página não tem.
Os dias restantes são contados da data de hoje até o dia da data Não depois de, contando os dois dias. Um certificado revogado antes dessa data ainda mostra as suas datas aqui, porque a página não lê lista de revogação nem consulta um respondedor OCSP.
Impressões digitais
Uma impressão digital é o resumo de todos os bytes DER. Dois certificados com a mesma impressão digital SHA-256 são o mesmo certificado. O SHA-1 não resiste mais a colisões, então compare o valor SHA-256 quando precisar de certeza; o valor SHA-1 é mostrado porque muitas listas antigas ainda o imprimem.
Exemplo resolvido: o intermediário E5 do Let's Encrypt (o padrão)
O certificado padrão é o intermediário E5 do Let's Encrypt, assinado com ECDSA P-384 pela ISRG Root X2. A página lê estes campos dele. O estado da validade depende da data em que você o lê, então ele não está na tabela; os outros campos são os mesmos em todos os dias.
| Campo | Valor |
|---|---|
| Versão | 3 |
| Número de série | 18:6E:75:D4:EE:B0:A0:5D:FD:2D:A8:20:86:5D:1E:31 |
| Algoritmo de assinatura | ECDSA com SHA-384 (1.2.840.10045.4.3.3) |
| Emissor | C=US, O=Internet Security Research Group, CN=ISRG Root X2 |
| Titular | C=US, O=Let's Encrypt, CN=E5 |
| Não antes de | 13 de março de 2024, 00:00:00 UTC |
| Não depois de | 12 de março de 2027, 23:59:59 UTC |
| Chave pública | Curva elíptica P-384, 384 bits |
| Uso da chave | Assinatura digital, Assinatura de certificado, Assinatura de LCR (CRL) |
| Uso estendido da chave | Autenticação de cliente TLS, Autenticação de servidor TLS |
| Restrições básicas | AC: sim, comprimento de caminho 0 |
| Impressão digital SHA-256 | E7:88:D1:4B:04:36:B5:12:0B:BE:E3:F1:5C:15:BA:DF:08:C1:40:7F:E7:25:68:A4:F1:6F:91:51:C3:80:E1:E3 |
Perguntas frequentes
Por que a página diz que meu certificado é válido quando o meu navegador diz que não é?
A página lê só as datas e os campos. Um navegador também verifica a assinatura, a cadeia até uma raiz confiável, o nome do host e se o certificado foi revogado. Essas verificações precisam de dados que esta página não tem.
Qual é a diferença entre as impressões digitais SHA-1 e SHA-256?
São dois resumos dos mesmos bytes DER. O SHA-1 não resiste mais a colisões, então o SHA-256 é o que se deve comparar quando você precisa de certeza. O valor SHA-1 é mostrado porque muitas listas antigas ainda o imprimem.
O que contém um bloco PEM que começa com BEGIN CERTIFICATE?
O PEM (RFC 7468) envolve os bytes DER de um certificado em Base64, entre uma linha BEGIN e uma linha END que trazem o rótulo CERTIFICATE. A página também aceita o texto Base64 sozinho.
Por que o tamanho da chave aparece em bits para RSA, mas como curva para ECDSA?
Uma chave RSA é descrita pelo comprimento do seu módulo em bits. Uma chave ECDSA é descrita pela sua curva, como P-256 ou P-384, que define o tamanho da chave.
O que significa AC: sim, comprimento de caminho 0?
O certificado pode assinar certificados de entidade final, mas nenhuma autoridade certificadora intermediária abaixo dele (RFC 5280, seção 4.2.1.9). As restrições básicas são lidas do certificado, e não conferidas contra uma cadeia.
A página envia meu certificado para algum lugar?
Não. Os bytes DER são lidos e as impressões digitais são calculadas no seu navegador. Nada é enviado nem guardado, e a página não se conecta ao host nomeado no certificado.
Fontes
- RFC 5280 (em inglês): Internet X.509 Public Key Infrastructure Certificate and CRL Profile
- RFC 7468 (em inglês): Textual Encodings of PKIX, PKCS, and CMS Structures
- ITU-T X.690 (em inglês): ASN.1 encoding rules (DER)
- Let's Encrypt (em inglês): repositório de certificados
Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.