防止部署失敗
更新 Nginx、Apache、負載平衡器或雲端憑證服務之前，先驗證這一對檔案。
RSA 與 ECC · SPKI SHA-256 比較
檢查 SSL 憑證與私密金鑰是否相符。
部署前使用此憑證金鑰比對工具。它會在瀏覽器本地比較憑證和私密金鑰，不會上傳私密金鑰。
僅在瀏覽器中匹配 · 不會上傳你的私密金鑰
貼上或上傳 SSL 憑證和私密金鑰。
上傳的檔案在本地讀取。兩份輸入都留在此瀏覽器標籤頁中，清除或關閉頁面後會被丟棄。
接受 .pem、.crt、.cer 或 .der。如果提供憑證鏈，會檢查第一張憑證。
接受 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 檔案。
比對結果將顯示在這裡
比對工具會提取兩份公開金鑰，正規化其 SPKI 資料，並比較位元組和 SHA-256 指紋。
部署前檢查
部署 SSL 前檢查這一對檔案。
Web 伺服器需要與憑證中的公開金鑰相對應的私密金鑰。相似的檔名和網域不能證明這些檔案屬於同一對。密碼學比較可以在重新載入失敗或造成停機之前發現不相符。
比較實際的金鑰
結果來自正規化公開金鑰位元組，而不是憑證名稱、網域或 PEM 排版。
金鑰材料保留在本地
解析、公開金鑰推導、雜湊和比較都在目前瀏覽器標籤頁中完成。
憑證與私密金鑰比對工具
如何檢查憑證和私密金鑰是否相符。
準備葉 SSL 憑證，以及你打算與它一起使用的私密金鑰。中間 CA 憑證並不包含你的伺服器公開金鑰。
- 01
提供葉憑證
貼上 PEM 文字，或上傳 .pem、.crt、.cer 或 .der 檔案。如果提供了憑證鏈，會檢查第一張憑證。
- 02
提供候選私密金鑰
貼上金鑰，或上傳 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 檔案。
- 03
選擇檢查匹配
檢視“匹配”或“不相符”的結論、兩份 SHA-256 指紋，以及憑證身分。
比對結果
憑證比對結果說明什麼。
匹配
憑證包含由此私密金鑰推匯出的公開金鑰。這一對可以一起設定到伺服器上。
無匹配
公開金鑰不一致。重新簽發憑證前，請找到原始金鑰，或建立新的金鑰和 CSR。
無法解析
檢查 PEM 邊界行。如果私密金鑰已加密或存放在不受支援的硬體中，請在本地使用 OpenSSL。
公開金鑰比較
憑證與私密金鑰比對工具如何工作。
比對工具會從 X.509 憑證中提取公開金鑰，並從提供的私密金鑰推導對應的公開金鑰。兩者都會先匯出為正規化的 SubjectPublicKeyInfo DER，再比較位元組。
它還會為每把公開金鑰計算 SHA-256 指紋，便於核對判斷結果。這適用於 RSA 和支援的橢圓曲線金鑰，而 RSA 模數比較不適用於 ECC。
匹配能夠證明什麼
- The certificate and private key share the same public key
- The private key can be configured with this leaf certificate
- The comparison covers RSA and supported ECC key pairs
匹配不會驗證憑證鏈、主機名稱、到期狀態、撤銷狀態或信任關係。
使用 OpenSSL 檢查憑證與私密金鑰。
如果私密金鑰已加密，或組織政策不允許使用瀏覽器工具，請在受信任的電腦上執行這些命令。雜湊相同表示公開金鑰匹配。
憑證 SPKI SHA-256
openssl x509 -in certificate.crt -pubkey -noout \
| openssl pkey -pubin -outform DER \
| openssl dgst -sha256私密金鑰 SPKI SHA-256
openssl pkey -in private.key -pubout -outform DER \
| openssl dgst -sha256憑證與金鑰不相符時該怎麼辦。
請檢查建立原始 CSR 的伺服器、續期目錄、金鑰管理器、部署記錄和安全備份。自動續期可能建立了新金鑰，而舊憑證或舊金鑰仍使用熟悉的檔名。
無法從 SSL 憑證還原私密金鑰。如果沒有正確的金鑰，請產生新的私密金鑰和 CSR，然後請憑證頒發機構重新簽發憑證。
支援的格式與限制。
此檢查工具接受 PEM 或 Base64 DER 形式的 X.509 憑證，以及未加密的 PKCS#8、RSA PKCS#1 或 EC SEC1 私密金鑰。支援的 EC 曲線為 P-256、P-384 和 P-521。
加密的私密金鑰、PFX/PKCS#12 包，以及硬體中不可匯出的金鑰不在本頁範圍內。貼上憑證鏈時，第一張憑證會被視為葉憑證。
相關 SSL 工具
檢查這份請求，或重新增立一份。
CSR 與私密金鑰比對工具
檢查憑證請求是否由指定私密金鑰建立。
Check CSR & keyCSR 解析工具
檢查主體、SAN、公開金鑰、簽章和申請的擴充。
Decode CSRCSR 產生器
如果原始金鑰不可用，請在本地建立新的 CSR 和私密金鑰。
Generate CSR憑證與私密金鑰比對常見問題
憑證與私密金鑰的常見問題。
如何檢查 SSL 憑證和私密金鑰是否相符？
貼上完整的 X.509 憑證和候選私密金鑰，或選擇它們的本地檔案。比對工具會提取憑證公開金鑰，從私密金鑰推導公開金鑰，把兩者都正規化為 SubjectPublicKeyInfo 資料後進行比較。
把私密金鑰貼上到此檢查工具是否安全？
比對工具在瀏覽器本地執行。憑證和私密金鑰不會被上傳、儲存或放入 URL。使用後請清空表單或關閉標籤頁，生產環境的金鑰請遵循組織的金鑰處理政策。
憑證與私密金鑰比對工具支援 RSA 和 ECC 嗎？
會。它比較的是正規化公開金鑰資料，而不是僅適用於 RSA 的模數，因此支援 RSA，以及 P-256、P-384 和 P-521 曲線上的 ECDSA 私密金鑰。
可以檢查加密的私密金鑰嗎？
本頁不要求也不解密私密金鑰通行密碼。請在受信任的電腦上使用本頁的 OpenSSL 命令，或建立臨時的未加密副本，用完後安全刪除。
如果憑證和金鑰不相符，該怎麼辦？
通過檢查簽發伺服器、續期目錄、金鑰管理器和安全備份，找到建立該憑證原始 CSR 所用的私密金鑰。如果無法找回，請產生新的金鑰和 CSR 並重新簽發憑證。
可以從 SSL 憑證中還原私密金鑰嗎？
不能。SSL 憑證包含公開金鑰，不包含私密金鑰。金鑰的密碼學設計決定了無法從憑證推匯出私密金鑰。
為什麼 Nginx 報告金鑰不相符？
當設定的憑證公開金鑰與設定的私密金鑰不一致時，Nginx 會報告金鑰不相符。請確認葉憑證和金鑰屬於同一對，並且憑證檔案不是順序錯誤的憑證鏈。