Декодер SSL-сертификатов и просмотр X.509

Онлайн-инструмент для чтения сертификатов X.509 / SSL. Разбирает все поля — субъект, издателя, срок действия, Subject Alternative Names, назначение ключа, расширения, подтверждения Certificate Transparency — и объясняет, какие из них создают проблему. Принимает PEM, DER, base64, hex, целую цепочку или запрос на сертификат и сам определяет, что именно вы вставили.

Как пользоваться

Вставьте или перетащите

Вставьте текст сертификата, перетащите файл .crt/.cer/.der/.pem на область или выберите кнопкой. Несколько файлов сразу читаются как одна цепочка.

Укажите имя хоста

Необязательно. Введите домен, который сертификат должен обслуживать, — инструмент подтвердит, что имя действительно покрыто.

Сначала читайте вердикт

Проблемы идут раньше подробностей, самые серьёзные — первыми. Пройденные проверки свёрнуты, поэтому здоровый сертификат читается как «ничего не сломано».

Потом — поля

Ниже вердикта разложено всё: имена, субъект, издатель, ключ, отпечатки и каждое расширение — расшифрованным, а не шестнадцатеричным дампом.

Вставьте сертификат и увидьте, что он покрывает, когда истекает и что сломается

Сертификат, цепочка или CSR

Вставьте сюда, перетащите файл на эту область или

Или взять сертификат прямо с сайта

Имя хоста для проверки (необязательно)

Проверит, что сертификат действительно покрывает это имя, по тем же правилам, что и браузеры: только SAN, маска — ровно на одну метку.

Возможности

Объясняет, а не только разбирает

Любой просмотрщик напечатает «Signature Algorithm: sha1WithRSA». Этот скажет, что браузеры не принимают SHA-1 с 2017 года, и что делать вместо этого. Около сорока проверок: срок, стойкость ключа, имена, ограничения, гигиена УЦ.

Читает то, что у вас реально есть

PEM, сырой DER, «голый» base64, hex-дамп, секрет Kubernetes (base64 от PEM), строку JSON с буквальными \n, блок YAML с отступами. И сообщает, как именно прочитал ввод, — поэтому неожиданный результат объясняет сам себя.

Проверка имени по правилам браузера

Введите имя хоста — и применятся те правила, которыми пользуются браузеры: только SAN (Chrome игнорирует Common Name с версии 58) и маска ровно на одну метку.

Целые цепочки сразу

Вставьте fullchain — инструмент упорядочит сертификаты, проверит каждую подпись, отметит конечный, промежуточные и корень, а если промежуточного не хватает, назовёт недостающего издателя.

Certificate Transparency расшифрован

Подтверждения SCT — структура TLS, а не ASN.1, поэтому другие декодеры показывают их шестнадцатеричным пятном. Здесь видны идентификаторы логов и метки времени.

Отпечаток, переживающий продление

Рядом с SHA-256 и SHA-1 считается пин публичного ключа (pin-sha256): он не меняется при перевыпуске с тем же ключом — именно это значение нужно для пиннинга и для проверки, что продление действительно переиспользовало старый ключ.

Частые вопросы

В Common Name стоит нужный домен — почему написано, что имя не покрыто?

Потому что браузеры перестали читать Common Name. Chrome убрал этот запасной путь в версии 58 (2017), остальные последовали за ним; сегодня учитывается только расширение Subject Alternative Name. Сертификат, где домен есть лишь в CN, будет отвергнут с ошибкой NET::ERR_CERT_COMMON_NAME_INVALID, каким бы правильным ни выглядел CN. Лечится перевыпуском с именами в расширении SAN.

Почему сайт работает в Chrome, но не работает на Android или в curl?

Почти всегда не хватает промежуточного сертификата. Настольные браузеры прячут проблему: они кэшируют промежуточные с других сайтов и умеют дотягивать недостающий по AIA. Android, curl, Java и большинство API-клиентов не делают ни того, ни другого — и видят цепочку, не доходящую до доверенного корня. Вставьте сюда полную цепочку: если в разделе цепочки написано, что промежуточного не хватает, это и есть ваша причина.

Какие форматы можно вставлять?

PEM (вид -----BEGIN CERTIFICATE-----), двоичные файлы DER, «голый» base64 без заголовка, шестнадцатеричный дамп, а также искажённые формы, в которых сертификаты обычно приходят: PEM, завёрнутый в base64 из секрета Kubernetes, строку JSON или Terraform с буквальными \n, блок YAML с отступами. Инструмент сообщает, какую форму распознал.

Он читает запрос на сертификат или приватный ключ?

CSR — да, разбирает и проверяет его собственную подпись, чего большинство декодеров CSR не делает. Приватный ключ распознаётся и опознаётся, но этот инструмент отправит вас к нужному: к сверке ключа с сертификатом или к конвертеру форматов.

Что такое пин публичного ключа и когда он нужен?

Это хеш SHA-256 от публичного ключа, а не от сертификата целиком. Поскольку он покрывает только ключ, при продлении с тем же ключом значение не меняется — именно это делает его пригодным для пиннинга, для мониторинга в духе Expect-CT и для подтверждения, что продление действительно переиспользовало прежний ключ. Обычный отпечаток SHA-256 меняется при каждом перевыпуске.

Почему инструмент предупреждает о сертификате на несколько лет?

У публично доверенных сертификатов есть максимальный срок, который проверяют браузеры, и он снижается: было 825 дней, с сентября 2020-го — 398, а CA/Browser Forum утвердил дальнейшие сокращения. Публичный сертификат, выпущенный дольше действовавшего на момент выпуска предела, будет отвергнут. Для частного или внутреннего УЦ ограничение не применяется, и инструмент поднимает вопрос только тогда, когда сертификат выглядит публично выпущенным.

💡 Хотите, чтобы мы улучшили этот инструмент лично для вас?

Мы можем! Просто отправьте нам сообщение с вашим пожеланием. Если хотите обсудить детали — оставьте свою почту, и мы с вами свяжемся. Можно анонимно.

Как вы оцениваете этот инструмент?

Спасибо за вашу оценку!

Изменить оценку

Хотите оставить комментарий?

Хотите рассказать подробнее? Оставьте комментарий!

Спасибо! Ваш комментарий появится после модерации.

Кому подходит этот инструмент

Опубликовано 04 авг 2026 Обновлено 05 авг 2026 Автор: Верховный