Как пользоваться
- Вставьте сертификат вместе со строками BEGIN и END. Если вставить несколько сертификатов подряд, они расшифруются по очереди.
- Посмотрите имена, даты и сведения о ключе справа.
- Сравните отпечаток с тем, что показывает браузер или сервер, чтобы убедиться, что файл тот самый.
Что расшифровывается
Сертификат — это структура ASN.1 в кодировке DER, обёрнутая в Base64. Инструмент читает версию, серийный номер, алгоритм подписи, имена издателя и субъекта, срок действия, открытый ключ (RSA с длиной модуля, EC с названием кривой или Ed25519) и такие расширения: альтернативные имена субъекта, назначение ключа, расширенное назначение ключа, базовые ограничения (basic constraints) и идентификаторы ключей. Остальные расширения пропускаются.
Пример
Образец — самоподписанный тестовый сертификат для www.example.com. В нём видно субъект C=US, O=Example Ltd, CN=www.example.com, такой же издатель (сертификат самоподписанный), имена DNS:www.example.com, DNS:example.com, IP:192.0.2.10, ключ EC P-256 длиной 256 бит, алгоритм подписи ecdsa-with-SHA256, назначение ключа digitalSignature, расширенное назначение serverAuth и CA «Нет».
Советы
- Если браузер предупреждает о несовпадении имени, первым делом проверьте список SAN.
- У промежуточного сертификата CA «Да» и обычно keyCertSign в назначении ключа; у сертификата сайта CA «Нет».
- Продлевайте сертификат до даты «Действует до»: многие сертификаты сейчас выпускаются на 90 дней и меньше.