Декодер сертификата X.509

Как пользоваться

1. Вставьте сертификат в поле Сертификат: весь блок PEM или только его Base64.
2. Посмотрите Кому выдан и Кем выдан, чтобы узнать, для кого сертификат и кто его подписал.
3. Проверьте Срок действия. Страница считает дни от сегодняшней даты в вашем часовом поясе.
4. Прежде чем доверять сертификату, сравните Отпечаток SHA-256 с тем, что публикуют сайт, поставщик или центр сертификации.

Что говорит сертификат

Сертификат X.509 (RFC 5280) связывает открытый ключ с именем и подписан издателем. Он записан в ASN.1 DER, дереве помеченных значений. Блок PEM — это тот же DER в виде Base64 между строками BEGIN и END (RFC 7468). Страница разбирает это дерево собственным небольшим читателем DER и показывает каждое поле.

Certificate ::= SEQUENCE { tbsCertificate, signatureAlgorithm, signatureValue }
TBSCertificate ::= SEQUENCE { version [0], serialNumber, signature, issuer,
                              validity, subject, subjectPublicKeyInfo, ..., extensions [3] }

Что страница не проверяет

Страница не проверяет подпись, не строит цепочку до доверенного корня, не смотрит, отозван ли сертификат, и не подключается к узлу. Сертификат может выглядеть здесь действительным и всё же быть отвергнут браузером или сервером. Для этих проверок нужны открытый ключ издателя и хранилище доверенных корней, которых у страницы нет.

Дни до конца срока считаются от сегодняшней даты до дня в поле «Действует не позже», оба дня включаются. Сертификат, отозванный раньше этой даты, здесь всё равно покажет свои даты: страница не читает список отзыва и не запрашивает ответ OCSP.

Отпечатки

Отпечаток — это дайджест всех байтов DER. Два сертификата с одинаковым отпечатком SHA-256 являются одним и тем же сертификатом. SHA-1 уже не устойчив к коллизиям, поэтому, когда нужна полная уверенность, сверяйте значение SHA-256. SHA-1 показан, потому что многие старые списки его ещё печатают.

Частые вопросы