Inspetor de certificados e PKI
Decodifique certificados X.509 e CSRs (PEM ou DER) no próprio navegador. Revise titular, emissor, validade, SAN, chave pública, assinatura e extensões; verifique a ordem da cadeia, a cobertura do nome de host e a correspondência entre CSR e certificado, sem enviar nada.
- PEM / DER / cadeias
- CSR ↔ certificado
- Processamento local
- Grátis, sem cadastro
Arquivos e texto colado são analisados apenas nesta aba do navegador. Nada é enviado e nada fica salvo depois que você fecha a aba.
O que esta ferramenta verifica e o que não verifica
Esta ferramenta realiza apenas verificações estruturais e criptográficas locais. Ela não consulta serviços OCSP/CRL e não avalia os repositórios de confiança do sistema operacional ou do navegador.
Solte certificados ou CSRs aqui
Arraste arquivos, escolha-os no dispositivo ou cole texto PEM abaixo.
Formatos: .pem, .crt, .cer, .der, .csr — pacotes PEM com vários certificados são aceitos
Até 32 arquivos, 2 MB cada, 8 MB no total.
Limites de expiração
Defina com quantos dias de antecedência a expiração deve ser sinalizada.
Sobre o Inspetor de certificados e PKI
O Inspetor de certificados e PKI serve para ler e verificar certificados X.509 e solicitações de assinatura PKCS#10 (CSR). Arraste arquivos .pem, .crt, .cer, .der ou .csr, ou cole texto PEM, para ver titular, emissor, validade, SAN, chave pública, algoritmo de assinatura, extensões e impressões digitais. A ferramenta também ordena a cadeia fornecida, verifica nomes de host e compara uma CSR com o certificado emitido.
Tudo é processado na aba do navegador: nenhum arquivo é enviado e chaves privadas são recusadas. Não é um verificador SSL on-line: não se conecta ao seu servidor e só inspeciona os arquivos que você fornece.
Certificados X.509 e CSRs
Um certificado X.509 associa uma chave pública a uma identidade (em TLS, geralmente nomes de host) e é assinado por um emissor, normalmente uma autoridade certificadora. As extensões definem os nomes válidos (SAN), os usos permitidos e se ele pode atuar como AC.
Uma CSR contém sua chave pública e os dados solicitados à AC. Ao carregar a CSR e o certificado emitido, a visualização Comparar confere a chave pública pela impressão SPKI e lista diferenças de titular e SAN antes da implantação.
SAN, nomes de host e cadeias
Os navegadores comparam o nome de host apenas com a extensão SAN; o nome comum (CN) não é mais usado para isso. A verificação mostra se o nome corresponde a uma entrada DNS exata, a um curinga (*.example.com cobre só um nível) ou a um IP, sem se conectar ao host.
Com um pacote fullchain ou vários arquivos, a visualização Cadeia ordena os certificados da folha até a raiz, aponta intermediários ausentes ou ordem incorreta e pode verificar a assinatura de cada ligação. Apenas os certificados fornecidos são usados.
O que é verificado e o que não é
Verificado localmente: estrutura, validade pelo relógio do dispositivo (limites ajustáveis), cobertura SAN, ligações entre os certificados fornecidos, assinaturas opcionais e correspondência de chave entre CSR e certificado.
Não verificado: confiança no repositório do sistema ou do navegador, revogação via OCSP/CRL, o certificado realmente servido por um servidor em produção, logs de CT e conformidade com o CA/Browser Forum. O diagnóstico automático é apenas orientativo.
Privacidade e exportação
Análise, hashes e verificação de assinaturas usam a Web Crypto API do navegador, sem gravar nada em localStorage ou IndexedDB. Se a entrada contiver um bloco PRIVATE KEY, ele é descartado sem ser analisado.
Exporte relatórios JSON, CSV ou HTML, converta entre PEM e DER com verificação automática e copie comandos equivalentes openssl x509 / req / verify, gerados apenas como texto.
Perguntas frequentes
Meus certificados ou CSRs são enviados para um servidor?
Não. Toda a análise acontece na aba do navegador; os arquivos não saem do seu dispositivo e nada fica salvo depois que você fecha a aba.
Posso verificar o certificado SSL do meu site em produção?
Não. Não é um verificador SSL on-line e não se conecta a nenhum servidor. Exporte o certificado do servidor ou do navegador e inspecione esse arquivo aqui.
A ferramenta informa se o certificado é confiável ou foi revogado?
Não. Ela não avalia os repositórios de confiança do sistema ou do navegador nem consulta OCSP/CRL. Apenas confirma se a cadeia fornecida está bem ligada e, opcionalmente, se as assinaturas são válidas.
E se eu colar uma chave privada por engano?
A ferramenta detecta o bloco PRIVATE KEY, recusa o processamento e o descarta, indicando qual entrada foi rejeitada. Se a chave pode ter sido exposta em outro lugar, considere substituí-la.
Por que o certificado falha mesmo com o CN correto?
Clientes modernos usam apenas a extensão SAN para comparar nomes de host. Confira a aba SAN; se o nome não estiver lá, o certificado precisa ser reemitido com esse SAN.