X.509 · 在本地浏览器中处理

SSL 证书解析工具。

在线解析 SSL 证书，并在安装或续期前检查域名、签发机构、到期时间、公钥、指纹、密钥用途和 X.509 扩展。

仅在浏览器中解析 · 不会上传你的证书

粘贴或上传 SSL 证书。

接受一份 PEM 证书或原始 Base64 编码的 DER。

粘贴证书文本，或上传 .crt、.cer、.pem 或 .der 文件。

已解析的证书详情。

核对身份、有效期、密钥详情和 X.509 扩展。

证书信息将在此显示

SSL 证书解析工具会显示域名、签发机构、到期时间、公钥、指纹、用途和扩展。

证书包含的是公开信息。此解析工具在本地运行，但不要把匹配的私钥粘贴到任何证书工具中。

证书解析结果

查看证书实际包含的内容。

SSL 证书是供机器读取的已签名 X.509 文档。SSL 证书解析工具会展示 TLS 客户端收到的字段，便于发现缺失的主机名、异常的签发机构、过弱的密钥或已过期的有效期。

主体与 SAN

把证书主体与主体备用名称扩展中的每个 DNS 名称和 IP 地址进行比对。

签发机构与有效期

查看证书由谁签发、何时生效、何时到期，以及还剩多少天。

密钥与指纹

检查公钥类型和长度、签名算法、序列号，以及 SHA-1 和 SHA-256 指纹。

在线解析 X.509 证书

如何解析 SSL 证书。

把公钥证书准备为 PEM 文本、原始 Base64 DER，或 .crt、.cer、.pem、.der 文件。不需要也不接受私钥。

  1. 01

    粘贴或上传证书

    粘贴完整的 PEM 块，或选择本地证书文件。二进制 DER 会在本地转换。如果存在完整证书链，本页会解析第一张证书。

  2. 02

    选择解析证书

    SSL 证书解析工具会在浏览器中读取 ASN.1 结构，并计算 SHA-1 和 SHA-256 指纹。

  3. 03

    比较重要字段

    对照部署要求核对 SAN 列表、主体、签发机构、到期时间、密钥类型、密钥用途和指纹。

解析结果

把结果用作部署前检查。

把解析后的证书与 CSR 以及将要安装的主机名进行比对。如果其他系统需要精确的证书身份，请记录 SHA-256 指纹。

请核对这些信息

  • Every required hostname appears in the SAN list
  • The issuer matches the expected certificate authority
  • The validity window covers the deployment period
  • The public key and usages meet your security policy

解析证书不会验证什么。

此 SSL 证书解析工具读取一张证书，并检查其日期是否包含当前时间。它不能证明浏览器信任签发机构，不会构建完整证书链，不会查询 OCSP 或 CRL，也不会检查线上服务器。

日期有效并不代表部署有效。服务器必须出示正确的叶子证书和中间证书链，并且请求的主机名必须匹配 SAN 扩展中的 DNS 或 IP 条目。

OpenSSL 替代命令

从命令行解析证书

openssl x509 -in certificate.pem -noout -text

如果证书必须留在终端流程中，或需要完整的文本扩展输出，请使用 OpenSSL。

相关 SSL 工具

继续检查证书流程。

CSR 解析工具

检查原始请求，并核对其主体、SAN、密钥和申请的扩展。

Decode CSR

CSR 生成器

如果续期需要新的密钥对，请在本地创建新的证书请求和私钥。

Generate CSR

SSL 证书解析常见问题

证书解析的常见问题。

什么是 SSL 证书解析工具？

SSL 证书解析工具把 X.509 证书中的 ASN.1 数据转换成可读字段。它会显示主体、签发机构、有效期、SAN、公钥、签名算法、指纹、密钥用途和扩展。

把证书粘贴到此解析工具是否安全？

可以。SSL 证书包含发给每个 TLS 客户端的公开信息。此解析工具在浏览器本地解析证书，不会上传。切勿把私钥、密码或 PKCS#12 文件粘贴到证书解析工具中。

支持哪些证书格式？

SSL 证书解析工具接受一份 PEM 证书、原始 Base64 编码的 DER，或上传的 .crt、.cer、.pem 或二进制 .der 文件。不支持 PFX、P12、P7B 和加密的密钥库。

解析证书能否证明它已被信任？

不能。解析只是描述证书，并把日期与当前时间比较。它不会构建受信任的证书链，不会通过 OCSP 或 CRL 检查吊销，不会验证 Certificate Transparency 收录，也不会确认线上服务器实际出示的内容。

为什么通用名称和所覆盖的域名不同？

现代 TLS 客户端会对照主体备用名称扩展验证主机名。通用名称仍可作为身份元数据，但主机名通常必须出现在 SAN 列表中才会被覆盖。