Sertifikat-dekoder

Dekoder X.509 SSL/TLS-sertifikater i PEM-format. All behandling skjer i nettleseren din for maksimal sikkerhet og personvern.

PEM-formatstøtte Detaljert analyse 100 % klientside

PEM-sertifikat

Slik bruker du sertifikat-dekoderen

Lim inn sertifikatet

Kopiert ditt PEM-kodede sertifikat inkludert BEGIN/END-hodene, og lim det inn i inndatafeltet

Automatisk dekoding

Verktøyet analyserer ASN.1/DER-strukturen automatisk og henter ut alle sertifikatfeltene

Se nærmere på detaljene

Se subject, issuer, gyldighetsdatoer, SAN-er, offentlig nøkkel-info og SHA-256-fingeravtrykk

Hva er X.509?

X.509 er en ITU-T-standard som definerer formatet på sertifikater med offentlig nøkkel. Et X.509-sertifikat binder en identitet (subject) til en offentlig nøkkel og signeres av en Certificate Authority (CA). SSL/TLS-sertifikater som brukes på HTTPS-nettsteder er den vanligste bruken av X.509-sertifikater.

SSL/TLS-sertifikater

X.509-sertifikater er grunnmuren i HTTPS — de bekrefter serveridentitet og muliggjør kryptert kommunikasjon

Offentlig nøkkelinfrastruktur

X.509 definerer formatet på sertifikater med offentlig nøkkel som brukes i PKI for å binde identiteter til kryptografiske nøkler

ASN.1/DER-koding

Sertifikater bruker ASN.1 Distinguished Encoding Rules (DER) for binærstrukturen sin, pakket inn i PEM Base64 for teksttransport

PEM vs DER vs CRT vs PFX — sertifikatformater

Det samme X.509-sertifikatet kan lagres i flere filformater. Å vite hvilken du har, sparer tid — slik skiller du dem:

Format	Filutvidelser	Koding	Typisk bruk
PEM	.pem, .crt, .cer	Base64 ASCII med BEGIN/END-hoder	Nettservere (Nginx, Apache), de fleste Linux-verktøy — formatet dette verktøyet dekoder
DER	.der, .cer	Rå binær ASN.1	Java-keystores, enkelte Windows- og innebygde verktøy
P7B / PKCS#7	.p7b, .p7c	Base64 ASCII, kun sertifikater (ingen privat nøkkel)	Import av sertifikatkjeder i Windows, IIS
PFX / PKCS#12	.pfx, .p12	Binært, passordbeskyttet, kan inneholde privat nøkkel	Import/eksport i Windows, IIS, kode signeringspakker

Rask test: Hvis filen åpnes i et tekstredigeringsprogram og viser -----BEGIN CERTIFICATE-----, er det PEM. Hvis den ser ut som binært søppel, er det DER eller PFX.

Nyttige OpenSSL-kommandoer

Foretrekker du kommandolinjen? Disse OpenSSL-kommandoene gjør det dette verktøyet gjør — dekoder, sjekker datoer og tar fingeravtrykk av et sertifikat:

openssl x509 -in cert.pem -text -noout

Dekoder og viser alle sertifikatfeltene

openssl x509 -in cert.pem -noout -dates

Viser kun gyldighetsdatoene (notBefore / notAfter)

openssl x509 -in cert.pem -noout -fingerprint -sha256

Skriver ut SHA-256-fingeravtrykket

openssl x509 -in cert.der -inform DER -text -noout

Dekoder et binært DER-sertifikat

openssl x509 -in cert.pem -noout -subject -issuer

Viser kun subject og issuer

openssl s_client -connect example.com:443 -showcerts

Henter sertifikatkjeden fra en aktiv server

Referanse for sertifikatfelt

Hvert dekodede felts betydning og hvorfor det er viktig:

Subject

Identiteten sertifikatet er utstedt til. Vanlige komponenter: CN (common name), O (organization), C (country).

Issuer

Certificate Authority-en som signerte dette sertifikatet. Hvis subject er lik issuer, er sertifikatet self-signed.

Serienummer

Et unikt nummer tildelt av utstedende CA. Det brukes til å sjekke tilbakekallingsstatus (CRL / OCSP).

Gyldighet (Not Before / Not After)

Tidsvinduet der sertifikatet er gyldig. Utenfor dette vinduet avviser nettlesere og klienter det.

Offentlig nøkkel og nøkkelstørrelse

Den offentlige nøkkelen som er bundet til identiteten. 2048-bits RSA eller 256-bits EC er dagens norm; 1024-bits RSA er utfaset.

Subject Alternative Names (SANs)

Listen over vertsnavn og IP-er sertifikatet dekker. Siden 2015 matcher nettlesere mot SAN-er, ikke CN — et sertifikat for example.com må liste www.example.com eksplisitt, ellers feiler valideringen.

Signaturalgoritme

Hvordan CA-en signerte sertifikatet. SHA-256 og oppover er påkrevd; SHA-1-signaturer avvises av moderne nettlesere.

Fingeravtrykk (SHA-256)

En hash av hele det DER-kodede sertifikatet. Brukes til pinning og sammenligning av sertifikater på tvers av systemer.

Vanlige spørsmål

Hvilke sertifikatformater støttes?

Verktøyet støtter PEM-kodede sertifikater (-----BEGIN CERTIFICATE-----). Formatene DER og P7B støttes ikke per nå.

Verifiserer det sertifikatkjeden?

Verktøyet dekoder og viser sertifikatdetaljer, men verifiserer ikke tillitskjeden mot rot-CA-er.

Kan jeg dekode certificate signing requests (CSR)?

Per nå støttes kun X.509-sertifikater. CSR-dekoding kan komme i en fremtidig oppdatering.

Hva er forskjellen på PEM, DER, CRT og PFX?

PEM er Base64-kodet tekst med BEGIN/END-hoder (utvidelsene .pem, .crt, .cer). DER er den rå binære ASN.1-formen av de samme dataene. CRT og CER er bare utvidelsesnavn som kan inneholde enten PEM eller DER. PFX/PKCS#12 er en passordbeskyttet binær pakke som kan inneholde den private nøkkelen, brukt mest på Windows.

Hvorfor sier nettleseren at sertifikatet er ugyldig selv om det dekodes fint?

Dekoding og validering er to forskjellige ting. Et sertifikat kan tolkes perfekt, men likevel feile validering fordi det er utløpt, vertsnavnet ikke står i SAN-listen, kjeden ikke fører til en tiltrodd rot-CA, eller det er tilbakekalt. Dette verktøyet viser de dekodede feltene — sjekk gyldighetsdatoene og SAN-ene først.

Er det trygt å lime inn SSL-sertifikatet mitt i dette verktøyet?

Ja. Et SSL-sertifikat er offentlig informasjon — alle besøkende på nettstedet ditt mottar det. Det inneholder ingen hemmelige data. Lim derimot aldri inn din private nøkkel noe sted: dette verktøyet trenger den ikke og kan ikke bruke den.

Hva hører hjemme i en sertifikatkjede, og hvor lang bør den være?

En servert kjede inneholder bladsertifikatet pluss de mellomliggende CA-ene som kobler det til en tiltrodd rot — typisk 2-3 sertifikater til sammen. Roten selv bør ikke sendes: klientene har allerede røtter i tillitslageret sitt. En manglende mellomliggende CA er den vanligste enkeltårsaken til TLS-feil av typen «fungerer i nettleseren min, men feiler på mobil», siden noen klienter cacher eller gjetter mellomliggende CA-er mens andre ikke gjør det.

Hvordan sjekker jeg utløpsdatoer og SAN-er før de forårsaker et avbrudd?

Dekoder sertifikatet og les gyldighetsblokken: notBefore er utstedelsesdatoen, notAfter utløpsdatoen — planlegg fornyelse minst 30 dager før notAfter. SAN-listen (Subject Alternative Names) viser alle vertsnavnene sertifikatet dekker; et navn som mangler i listen gir en certificate-name-feil i nettlesere selv når CN stemmer. Dette verktøyet viser begge feltene dekodet på plass.

Relaterte verktøy

JWT-parser

Dekod og verifiser JSON Web Tokens (JWT) umiddelbart. Se header-, payload- og signaturinformasjon med lesbar tidsvisning

SAML-dekoder

Dekod SAML-assertions fra Base64-kodet XML

Base64-dekoder og URL-parser

Dekod og kod Base64, parse URL-kodede strenger, forhåndsvis Base64-bilder og dekod JWT-header- eller payload-segmenter

{-- * External Resources Component（#18 Phase 3b 内容佐证工程） * 工具页「权威引用」区块：RFC / W3C / WHATWG / ECMA / IANA / 官方规范站 / Wikipedia。 * * - 接受 :slug 属性 → 经 config/tool-sources.php 家族矩阵渲染该工具的权威引用 * - slug 未命中映射时不渲染（无权威来源的工具静默跳过） * - 链接 title 保持英文（引用源专名）；description 经 * common.resources.descriptions.{key} 本地化，lang 未命中回退英文（线上不裸奔） * - 链接保持 dofollow（rel="noopener noreferrer"） * * @param string|null $slug --}}

Autoritative referanser

Primærkildene bak dette verktøyet — offisielle standarder og spesifikasjoner, ikke andrehånds sammendrag.

RFC 5280 - Internet X.509 PKI Certificate and CRL Profile

IETF-profilen for X.509-sertifikater: felter, utvidelser, SAN-er og tilbakekalling.

X.509 - Wikipedia

X.509-sertifikatformatet for offentlig nøkkelinfrastruktur og feltene dets.

MDN Web Docs - TLS Certificates

Mozilla-referanse om TLS-sertifikater og hvordan nettlesere validerer tillitskjeden.