Certificaat-decoder
Decodeer X.509 SSL/TLS-certificaten in PEM-formaat. Alle verwerking gebeurt in je browser voor maximale veiligheid en privacy.
Zo gebruik je de certificaat-decoder
Plak het certificaat
Kopieer je PEM-gecodeerde certificaat inclusief de BEGIN/END-headers en plak het in het invoerveld
Automatisch decoderen
De tool parseert automatisch de ASN.1/DER-structuur en haalt alle certificaatvelden eruit
Bekijk de details
Bekijk subject, issuer, geldigheidsdatums, SAN's, info over de openbare sleutel en de SHA-256-vingerafdruk
Wat is X.509?
X.509 is een ITU-T-standaard die het formaat van certificaten met openbare sleutel definieert. Een X.509-certificaat koppelt een identiteit (subject) aan een openbare sleutel en wordt ondertekend door een Certificate Authority (CA). SSL/TLS-certificaten voor HTTPS-websites zijn de meest voorkomende toepassing van X.509-certificaten.
SSL/TLS-certificaten
X.509-certificaten vormen de basis van HTTPS — ze verifiëren de identiteit van servers en maken versleutelde communicatie mogelijk
Public Key Infrastructure
X.509 definieert het formaat voor certificaten met openbare sleutel die in PKI worden gebruikt om identiteiten aan cryptografische sleutels te binden
ASN.1/DER-codering
Certificaten gebruiken ASN.1 Distinguished Encoding Rules (DER) voor hun binaire structuur, verpakt in PEM Base64 voor teksttransport
PEM vs DER vs CRT vs PFX — certificaatformaten
Ditzelfde X.509-certificaat kan in verschillende bestandsformaten worden opgeslagen. Weten welke je hebt, bespaart tijd — zo onderscheid je ze:
| Formaat | Extensies | Codering | Typisch gebruik |
|---|---|---|---|
| PEM | .pem, .crt, .cer | Base64 ASCII met BEGIN/END-headers | Webservers (Nginx, Apache), de meeste Linux-tools — het formaat dat deze tool decodeert |
| DER | .der, .cer | Ruwe binaire ASN.1 | Java-keystores, sommige Windows- en embedded-tools |
| P7B / PKCS#7 | .p7b, .p7c | Base64 ASCII, alleen certificaten (geen privésleutel) | Import van certificaatketens in Windows, IIS |
| PFX / PKCS#12 | .pfx, .p12 | Binair, wachtwoordbeveiligd, kan privésleutel bevatten | Import/export in Windows, IIS, code signing-bundels |
Snelle test: als het bestand opent in een teksteditor en -----BEGIN CERTIFICATE----- toont, is het PEM. Ziet het eruit als binaire troep, dan is het DER of PFX.
Nuttige OpenSSL-commando's
Liever de commandoregel? Deze OpenSSL-commando's doen wat deze tool doet — een certificaat decoderen, datums controleren en een vingerafdruk maken:
openssl x509 -in cert.pem -text -noout
Decodeer en toon alle certificaatvelden
openssl x509 -in cert.pem -noout -dates
Toon alleen de geldigheidsdatums (notBefore / notAfter)
openssl x509 -in cert.pem -noout -fingerprint -sha256
Druk de SHA-256-vingerafdruk af
openssl x509 -in cert.der -inform DER -text -noout
Decodeer een binair DER-certificaat
openssl x509 -in cert.pem -noout -subject -issuer
Toon alleen subject en issuer
openssl s_client -connect example.com:443 -showcerts
Haal de certificaatketen op van een live server
Referentie voor certificaatvelden
Wat elk gedecodeerde veld betekent en waarom het ertoe doet:
Subject
De identiteit waarvoor het certificaat is uitgegeven. Gebruikelijke onderdelen: CN (common name), O (organization), C (country).
Issuer
De Certificate Authority die dit certificaat heeft ondertekend. Als subject gelijk is aan issuer, is het certificaat self-signed.
Serienummer
Een uniek nummer toegekend door de uitgevende CA. Het wordt gebruikt om intrekkingsstatus te controleren (CRL / OCSP).
Geldigheid (Not Before / Not After)
Het tijdsvenster waarin het certificaat geldig is. Buiten dit venster wijzen browsers en clients het af.
Openbare sleutel en sleutelgrootte
De openbare sleutel die aan de identiteit is gebonden. 2048-bits RSA of 256-bits EC is de huidige norm; 1024-bits RSA is verouderd.
Subject Alternative Names (SANs)
De lijst met hostnamen en IP's die het certificaat dekt. Sinds 2015 matchen browsers op SAN's, niet op de CN — een certificaat voor example.com moet www.example.com expliciet vermelden, anders mislukt de validatie.
Handtekeningsalgoritme
Hoe de CA het certificaat heeft ondertekend. SHA-256 en hoger zijn vereist; SHA-1-handtekeningen worden door moderne browsers afgewezen.
Vingerafdruk (SHA-256)
Een hash van het volledige DER-gecodeerde certificaat. Gebruikt voor pinning en het vergelijken van certificaten tussen systemen.
Veelgestelde vragen
De tool ondersteunt PEM-gecodeerde certificaten (-----BEGIN CERTIFICATE-----). De formaten DER en P7B worden momenteel niet ondersteund.
De tool decodeert en toont certificaatdetails, maar verifieert de vertrouwensketen niet tegen root-CA's.
Momenteel worden alleen X.509-certificaten ondersteund. CSR-decodering wordt mogelijk in een toekomstige update toegevoegd.
PEM is Base64-gecodeerde tekst met BEGIN/END-headers (extensies .pem, .crt, .cer). DER is de ruwe binaire ASN.1-vorm van dezelfde data. CRT en CER zijn alleen extensienamen die zowel PEM als DER kunnen bevatten. PFX/PKCS#12 is een wachtwoordbeveiligde binaire bundel die de privésleutel kan bevatten, voornamelijk gebruikt op Windows.
Decoderen en valideren zijn verschillende dingen. Een certificaat kan perfect worden geparst, maar toch de validatie mislopen omdat het verlopen is, de hostname niet in de SAN-lijst staat, de keten niet naar een vertrouwde root-CA leidt, of het is ingetrokken. Deze tool toont de gedecodeerde velden — controleer eerst de geldigheidsdatums en de SAN's.
Ja. Een SSL-certificaat is openbare informatie — elke bezoeker van je site ontvangt het. Het bevat geen geheime data. Plak echter nooit je privésleutel ergens: deze tool heeft die niet nodig en kan er niets mee.
Een geserveerde keten bevat het leaf-certificaat plus de intermediate CA's die het verbinden met een vertrouwde root — doorgaans in totaal 2-3 certificaten. De root zelf zou niet meegestuurd moeten worden: clients hebben roots al in hun trust store. Een ontbrekende intermediate is de belangrijkste oorzaak van TLS-fouten van het type "werkt in mijn browser maar faalt op mobiel", omdat sommige clients intermediates cachen of raden en andere niet.
Decodeer het certificaat en lees het geldigheidsblok: notBefore is de uitgiftedatum, notAfter de vervaldatum — plan vernieuwing minstens 30 dagen voor notAfter. De SAN-lijst (Subject Alternative Names) bevat elke hostname die het certificaat dekt; een naam die ontbreekt in die lijst geeft een certificate-name-fout in browsers, zelfs als de CN klopt. Deze tool toont beide velden gedecodeerd op hun plek.
Gerelateerde tools
JWT-parser
Decodeer en verifieer JSON Web Tokens (JWT) direct. Bekijk header-, payload- en handtekeninginformatie met leesbare tijdsweergave
SAML-dekoder
Decodeer SAML-assertions uit Base64-gecodeerde XML
Base64 URL-dekoder & parser
Decodeer en encodeer Base64, parseer URL-gecodeerde strings, bekijk Base64-afbeeldingen vooraf en decodeer JWT-header- of payload-segmenten
Autoritatieve referenties
De primaire bronnen achter deze tool — officiële standaarden en specificaties, geen tweedehands samenvattingen.
RFC 5280 - Internet X.509 PKI Certificate and CRL Profile
Het IETF-profiel van X.509-certificaten: velden, extensies, SAN's en intrekking.
X.509 - Wikipedia
Het certificaatformaat van de X.509 public key infrastructure en de velden ervan.
MDN Web Docs - TLS Certificates
Mozilla-referentie over TLS-certificaten en hoe browsers de vertrouwensketen valideren.