RSA e ECC · comparação SPKI SHA-256

Verifique se um certificado SSL e uma chave privada correspondem.

Use este comparador de certificado e chave antes da implantação. Ele compara o certificado e a chave privada localmente no navegador, sem enviar a chave privada.

Comparação só no navegador · Sua chave privada não é enviada

Cole ou envie o seu certificado SSL e a chave privada.

Os arquivos enviados são lidos localmente, ambas as entradas ficam nesta guia do navegador e são descartadas quando você limpa ou fecha a página.

Aceita .pem, .crt, .cer ou .der. Se você informar uma cadeia, o primeiro certificado é verificado.

Aceita arquivos .key ou .pem sem criptografia, em PKCS#8, RSA PKCS#1 ou EC SEC1.

O resultado da correspondência aparecerá aqui

O fósforo extrai ambas as chaves públicas, normaliza suas SPKI dados, e compara os bytes SHA-256 Digitais.

Pré-voo de implantação

Verifique o par antes de SSL.

Um servidor web precisa da chave privada que corresponde à chave pública do certificado. Nomes de arquivo e de domínio parecidos não provam que os arquivos formam um par. A comparação criptográfica detecta a divergência antes que uma recarga falhe ou cause indisponibilidade.

Evite falha na implantação

Verifique o par antes de atualizar Nginx, Apache, um balanceador de carga, ou um serviço de certificado na nuvem.

Compare as chaves reais

O resultado vem de bytes canônicos de chave pública, não nomes certificados, domínios ou formatação PEM.

Mantenha o material-chave local

Análise, derivação de chave pública, hashing e comparação acontecem dentro da guia do navegador atual.

COMPARADOR DE CERTIFICADO E CHAVE

Como verificar se um certificado e uma chave privada correspondem.

Prepare o certificado SSL folha e a chave privada que você espera usar com ele. Certificados intermediários de CA não contêm a chave pública do seu servidor.

  1. 01

    Forneça o certificado de folha

    Cole o texto PEM ou envie um arquivo .pem, .crt, .cer ou .der. Se houver uma cadeia, o primeiro certificado é verificado.

  2. 02

    Forneça ao candidato a chave privada

    Cole a chave ou envie um arquivo .key ou .pem sem criptografia, em PKCS#8, RSA PKCS#1 ou EC SEC1.

  3. 03

    Selecione a opção Verificar correspondência

    Revise a decisão de correspondência ou ausência de correspondência, as duas impressões digitais SHA-256 e a identidade do certificado.

RESULTADOS DA COMPARAÇÃO

O que o resultado do seu certificado significa.

Correspondem

O certificado contém a chave pública derivada desta chave privada, o par pode ser configurado em conjunto no seu servidor.

Sem correspondência

Localize a chave original ou crie uma nova chave e CSR antes de reemitir o certificado.

Não é possível analisar

Confira as linhas de delimitação do PEM e use o OpenSSL localmente se a chave privada estiver criptografada ou em hardware sem suporte.

Comparação de chaves públicas

Como funciona a chave do certificado.

O fósforo extrai a chave pública do certificado X.509 e deriva a correspondente chave pública da chave privada fornecida, ambos são exportados como objeto canônico PublicKeyInfo DER antes de seus bytes serem comparados.

Ele também calcula uma impressão digital SHA-256 de cada chave pública, para você auditar a decisão. Isso funciona para RSA e para chaves de curva elíptica com suporte. A comparação de módulo RSA não cobre ECC.

O que uma combinação prova

  • The certificate and private key share the same public key
  • The private key can be configured with this leaf certificate
  • The comparison covers RSA and supported ECC key pairs

Uma correspondência não valida a cadeia do certificado, o hostname, a expiração, a revogação nem a confiança.

Verifique um certificado e uma chave privada com o OpenSSL.

Execute esses comandos em uma máquina confiável quando a chave privada é criptografada ou a política organizacional não permite ferramentas de navegador.

CERTIFICADO SPKI SHA-256

openssl x509 -in certificate.crt -pubkey -noout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

CHAVE PRIVADA SPKI SHA-256

openssl pkey -in private.key -pubout -outform DER \
  | openssl dgst -sha256

O que fazer quando o certificado e a chave não batem.

Verifique o servidor que criou o CSR original, o diretório de renovação, o gerenciador de segredos, os registros de implantação e os backups seguros. A renovação automática pode ter criado uma nova chave enquanto um certificado ou uma chave antiga manteve um nome conhecido.

Não é possível recuperar uma chave privada a partir de um certificado SSL. Se a chave correta não estiver disponível, gere uma nova chave privada e um novo CSR e peça à autoridade certificadora para reemitir o certificado.

Formatos e limites suportados.

O verificador aceita um certificado X.509 em PEM ou DER em Base64 e chaves privadas sem criptografia em PKCS#8, RSA PKCS#1 ou EC SEC1. As curvas EC com suporte são P-256, P-384 e P-521.

Chaves privadas criptografadas, pacotes PFX/PKCS#12 e chaves de hardware não exportáveis ficam fora do escopo desta página. Quando uma cadeia é colada, o primeiro certificado é tratado como o certificado folha.

Relacionados com SSL ferramentas

Verifique o pedido ou crie um substituto.

Comparador de CSR e chave privada

Verifique se uma solicitação de certificado foi criada a partir de uma chave privada específica.

Check CSR & key

Decodificador de CSR

Inspecione o subject, os SANs, a chave pública, a assinatura e as extensões solicitadas.

Decode CSR

Gerador de CSR

Crie localmente um novo par de CSR e chave privada quando a chave original não estiver disponível.

Generate CSR

PERGUNTAS FREQUENTES DO COMPARADOR DE CERTIFICADO E CHAVE

Certificado comum e perguntas particulares.

Como verifico se um certificado SSL e uma chave privada correspondem?

Cole o certificado X.509 completo e a chave privada candidata, ou selecione os arquivos locais. O comparador extrai a chave pública do certificado, deriva a chave pública da chave privada, normaliza as duas como SubjectPublicKeyInfo e as compara.

É seguro colar uma chave privada neste verificador?

O comparador roda localmente no navegador. O certificado e a chave privada não são enviados, armazenados nem colocados na URL. Limpe o formulário ou feche a aba depois do uso e siga a política da sua organização para chaves de produção.

O certificado é compatível com RSA e ECC?

Sim. Ele compara dados canônicos de chave pública em vez de um módulo exclusivo de RSA, então aceita RSA e chaves privadas ECDSA nas curvas P-256, P-384 e P-521.

Posso verificar uma chave privada criptografada?

Esta página não solicita nem decifra frases secretas de chave privada. Use os comandos OpenSSL desta página em uma máquina confiável, ou crie uma cópia temporária sem criptografia e apague-a com segurança depois.

O que devo fazer se o certificado e a chave não corresponderem?

Localize a chave privada usada para criar o CSR original do certificado no servidor de emissão, no diretório de renovação, no gerenciador de segredos e nos backups seguros. Se ela não puder ser recuperada, gere uma nova chave e um novo CSR e reemita o certificado.

Uma chave privada pode ser recuperada de um certificado SSL?

Não. Um certificado SSL contém a chave pública, mas não a chave privada. O desenho criptográfico impede derivar a chave privada a partir do certificado.

Por que Nginx reportam esse descompasso?

O Nginx informa incompatibilidade de chave quando o certificado configurado contém uma chave pública diferente da chave privada configurada. Confira se o certificado folha e a chave formam um par e se o arquivo do certificado não é uma cadeia em ordem incorreta.