Инспектор сертификатов и PKI
Декодируйте сертификаты X.509 и CSR (PEM или DER) прямо в браузере. Просматривайте субъект, издателя, срок действия, SAN, открытый ключ, подпись и расширения; проверяйте порядок цепочки, покрытие имени хоста и соответствие CSR сертификату — без загрузки на сервер.
- PEM / DER / цепочки
- Сверка CSR ↔ сертификат
- Локальная обработка
- Бесплатно, без регистрации
Файлы и вставленный текст анализируются только в этой вкладке браузера. Ничего не загружается и ничего не сохраняется после закрытия вкладки.
Что инструмент проверяет, а что нет
Инструмент выполняет только локальные структурные и криптографические проверки. Он не обращается к службам OCSP/CRL и не оценивает хранилища доверия ОС или браузера.
Перетащите сюда сертификаты или CSR
Перетащите файлы, выберите их на устройстве или вставьте PEM-текст ниже.
Форматы: .pem, .crt, .cer, .der, .csr — поддерживаются PEM-наборы с несколькими сертификатами
До 32 файлов, по 2 МБ, всего 8 МБ.
Пороги истечения срока
Укажите, за сколько дней до истечения помечать сертификат.
Об инспекторе сертификатов и PKI
Инспектор сертификатов и PKI помогает читать и проверять сертификаты X.509 и запросы на подпись PKCS#10 (CSR). Перетащите файлы .pem, .crt, .cer, .der или .csr либо вставьте PEM-текст — и увидите субъект, издателя, срок действия, SAN, открытый ключ, алгоритм подписи, расширения и отпечатки. Инструмент также упорядочивает переданную цепочку, проверяет имена хостов и сравнивает CSR с выпущенным сертификатом.
Вся обработка идёт во вкладке браузера: файлы не загружаются, закрытые ключи отклоняются. Это не онлайн-проверка SSL: инструмент не подключается к вашему серверу и проверяет только переданные файлы.
Сертификаты X.509 и CSR
Сертификат X.509 связывает открытый ключ с владельцем (для TLS — обычно с набором имён хостов) и подписан издателем, как правило удостоверяющим центром. Расширения задают допустимые имена (SAN), разрешённые назначения и то, может ли сертификат выступать УЦ.
CSR содержит ваш открытый ключ и сведения, запрашиваемые у УЦ. Загрузите CSR и выпущенный сертификат — вкладка «Сравнение» сверит открытые ключи по отпечатку SPKI и покажет различия в субъекте и SAN ещё до развёртывания.
SAN, имена хостов и цепочки
Браузеры сопоставляют имя хоста только с расширением SAN; общее имя (CN) для этого больше не используется. Проверка покажет, совпадает ли имя с точной DNS-записью, wildcard (*.example.com покрывает только один уровень) или IP, без подключения к хосту.
Из fullchain-файла или нескольких файлов вкладка «Цепочка» выстраивает сертификаты от конечного к корневому, отмечает отсутствующие промежуточные и неверный порядок и при желании проверяет подпись каждой связи. Используются только ваши сертификаты.
Что проверяется, а что нет
Проверяется локально: структура, срок действия по часам устройства (с настраиваемыми порогами), покрытие SAN, связи между переданными сертификатами, необязательная проверка подписей и совпадение ключа CSR и сертификата.
Не проверяется: доверие в хранилище ОС или браузера, отзыв через OCSP/CRL, сертификат, который фактически отдаёт работающий сервер, журналы CT и соответствие CA/Browser Forum. Автоматическая диагностика носит рекомендательный характер.
Конфиденциальность и экспорт
Разбор, хеширование и проверка подписей выполняются через Web Crypto API браузера; ничего не сохраняется в localStorage или IndexedDB. Если во входных данных есть блок PRIVATE KEY, он отбрасывается без анализа.
Экспортируйте отчёты в JSON, CSV или HTML, конвертируйте PEM и DER с автоматической проверкой и копируйте эквивалентные команды openssl x509 / req / verify — они генерируются только как текст.
Частые вопросы
Загружаются ли мои сертификаты или CSR на сервер?
Нет. Весь анализ выполняется во вкладке браузера; файлы не покидают устройство, а после закрытия вкладки ничего не сохраняется.
Можно ли проверить SSL-сертификат работающего сайта?
Нет. Это не онлайн-проверка SSL, и инструмент не подключается к серверам. Экспортируйте сертификат с сервера или из браузера и проверьте этот файл здесь.
Показывает ли инструмент, доверенный ли сертификат и не отозван ли он?
Нет. Хранилища доверия ОС и браузера не оцениваются, OCSP/CRL не запрашиваются. Инструмент лишь подтверждает, что переданная цепочка корректно связана и, по желанию, что её подписи верны.
Что будет, если случайно вставить закрытый ключ?
Инструмент обнаружит блок PRIVATE KEY, откажется его обрабатывать и отбросит, указав отклонённый ввод. Если ключ мог утечь в другом месте, рассмотрите его замену.
Почему сертификат не принимается, хотя CN верный?
Современные клиенты сопоставляют имя хоста только с SAN. Проверьте вкладку SAN: если нужного имени там нет, сертификат нужно перевыпустить с этим SAN.