Inspector de certificados y PKI
Decodifica certificados X.509 y CSR (PEM o DER) en tu navegador. Revisa sujeto, emisor, vigencia, SAN, clave pública, firma y extensiones; comprueba el orden de la cadena, la cobertura del nombre de host y la correspondencia entre CSR y certificado, sin subir nada.
- PEM / DER / cadenas
- CSR ↔ certificado
- Procesamiento local
- Gratis y sin registro
Los archivos y el texto pegado se analizan solo en esta pestaña del navegador. No se sube nada y no queda nada guardado al cerrar la pestaña.
Qué verifica y qué no verifica esta herramienta
Esta herramienta solo realiza comprobaciones estructurales y criptográficas locales. No consulta servicios OCSP/CRL ni evalúa los almacenes de confianza del sistema operativo o del navegador.
Suelta aquí certificados o CSR
Arrastra archivos, selecciónalos desde tu dispositivo o pega texto PEM abajo.
Formatos: .pem, .crt, .cer, .der, .csr; también paquetes PEM con varios certificados
Hasta 32 archivos, 2 MB cada uno, 8 MB en total.
Umbrales de caducidad
Elige con cuántos días de antelación se debe señalar la caducidad.
Acerca del Inspector de certificados y PKI
El Inspector de certificados y PKI sirve para leer y comprobar certificados X.509 y solicitudes de firma PKCS#10 (CSR). Arrastra archivos .pem, .crt, .cer, .der o .csr, o pega texto PEM, y verás sujeto, emisor, vigencia, SAN, clave pública, algoritmo de firma, extensiones y huellas. También ordena la cadena que aportas, comprueba nombres de host y compara una CSR con su certificado.
Todo se procesa en la pestaña del navegador: no se sube ningún archivo y las claves privadas se rechazan. No es un comprobador SSL en línea: no se conecta a tu servidor y solo inspecciona los archivos que le das.
Certificados X.509 y CSR
Un certificado X.509 vincula una clave pública con una identidad (normalmente nombres de host en TLS) y está firmado por un emisor, habitualmente una autoridad de certificación. Sus extensiones definen los nombres válidos (SAN), los usos permitidos y si puede actuar como CA.
Una CSR contiene tu clave pública y los datos que solicitas a la CA. Si cargas la CSR y el certificado emitido, la vista Comparar verifica la clave pública mediante la huella SPKI y muestra las diferencias de sujeto y SAN antes de desplegar.
SAN, nombres de host y cadenas
Los navegadores comparan el nombre de host solo con la extensión SAN; el nombre común (CN) ya no se usa para ello. La comprobación indica si el nombre coincide con una entrada DNS exacta, un comodín (*.example.com cubre un solo nivel) o una IP, sin conectarse al host.
Con un paquete fullchain o varios archivos, la vista Cadena ordena los certificados de hoja a raíz, señala intermedios que faltan u orden incorrecto y, opcionalmente, verifica la firma de cada enlace. Solo se usan los certificados aportados.
Qué se verifica y qué no
Se comprueba localmente: estructura, vigencia según el reloj del dispositivo (con umbrales ajustables), cobertura SAN, enlaces entre los certificados aportados, firmas de enlace opcionales y coincidencia de clave entre CSR y certificado.
No se comprueba: la confianza en el almacén del sistema o del navegador, la revocación por OCSP/CRL, el certificado que sirve realmente un servidor en línea, los registros CT ni el cumplimiento del CA/Browser Forum. El diagnóstico automático es orientativo.
Privacidad y exportación
El análisis, los hashes y la verificación de firmas se hacen con la Web Crypto API del navegador, sin guardar nada en localStorage ni IndexedDB. Si la entrada contiene un bloque PRIVATE KEY, se descarta sin analizarlo.
Exporta informes JSON, CSV o HTML, convierte entre PEM y DER con verificación automática y copia comandos equivalentes openssl x509 / req / verify, que solo se generan como texto.
Preguntas frecuentes
¿Se suben mis certificados o CSR a un servidor?
No. Todo el análisis se hace en la pestaña del navegador; los archivos no salen de tu dispositivo y no queda nada guardado al cerrarla.
¿Puede comprobar el certificado SSL de mi sitio en producción?
No. No es un comprobador SSL en línea y no se conecta a ningún servidor. Exporta el certificado desde tu servidor o navegador e inspecciona ese archivo aquí.
¿Indica si el certificado es de confianza o está revocado?
No. No evalúa los almacenes de confianza del sistema o del navegador ni consulta OCSP/CRL. Solo confirma si la cadena aportada está bien enlazada y, opcionalmente, si sus firmas son válidas.
¿Qué pasa si pego una clave privada por error?
La herramienta detecta el bloque PRIVATE KEY, se niega a procesarlo y lo descarta, indicando qué entrada rechazó. Si la clave pudo quedar expuesta en otro lugar, considera rotarla.
¿Por qué falla el certificado si el CN es correcto?
Los clientes modernos solo usan la extensión SAN para comparar nombres de host. Revisa la pestaña SAN; si el nombre no aparece, hay que volver a emitir el certificado con ese SAN.