证书与 PKI 检查工作室
在浏览器中解析 X.509 证书和 CSR（PEM 或 DER）。查看主题、颁发者、有效期、SAN、公钥、签名和扩展，并检查证书链顺序、主机名覆盖以及 CSR 与证书是否匹配——全程无需上传。
- 支持 PEM / DER / 证书链
- CSR 与证书比对
- 仅在本地处理
- 免注册、免费
文件和粘贴的文本仅在当前浏览器标签页内解析。不会上传任何内容，关闭标签页后不留任何数据。
本工具验证与不验证的内容
本工具仅在本地执行结构和密码学检查，不查询 OCSP/CRL 服务，也不评估操作系统或浏览器的信任存储。
将证书或 CSR 拖放到此处
拖放文件、从设备中选择，或在下方粘贴 PEM 文本。
支持：.pem、.crt、.cer、.der、.csr——也支持包含多张证书的 PEM 合并文件
最多 32 个文件，每个 2 MB，总计 8 MB。
过期提醒阈值
设置在过期前多少天开始提示。
关于证书与 PKI 检查工作室
证书与 PKI 检查工作室用于读取和检查 X.509 证书及 PKCS#10 证书签名请求（CSR）。拖入 .pem、.crt、.cer、.der、.csr 文件或粘贴 PEM 文本，即可清晰查看主题、颁发者、有效期、SAN、公钥、签名算法、扩展和指纹，并对证书链排序、检查主机名覆盖、比对 CSR 与证书。
所有处理都在浏览器标签页内完成，不上传任何文件，也拒绝处理私钥。本工具不是在线 SSL 检测服务：它不会连接您的服务器，只检查您提供的文件。
什么是 X.509 证书与 CSR
X.509 证书将公钥与身份（TLS 场景下通常是一组主机名）绑定，并由颁发者（通常是 CA）签名。其核心字段包括主题、颁发者、序列号、有效期（Not Before / Not After）、公钥和签名；扩展则规定 SAN、密钥用法、是否为 CA 等规则。
CSR 是向 CA 申请证书时提交的数据，包含您的公钥和申请的主题与 SAN。同时加载 CSR 与签发的证书，比较视图会通过 SPKI 指纹核对公钥，并列出主题与 SAN 的差异，帮助您在部署前确认二者匹配。
SAN、主机名与证书链
浏览器仅根据 SAN 扩展匹配主机名，通用名称（CN）不再用于此判断。主机名检查会显示名称是否被精确 DNS、通配符（*.example.com 只匹配一级子域）或 IP 条目覆盖。该检查只比对名称，不会连接主机。
将 fullchain PEM 或多个文件一起载入后，证书链视图会根据颁发者/主题名称及 AKI/SKI 从叶证书排序到根证书，指出缺失的中间证书和错误的顺序，并可选择验证每一环的签名。仅使用您提供的证书，不会从网络下载。
验证范围：检查与不检查的内容
本地检查：证书与 CSR 结构、有效期（基于本设备时钟，阈值可调）、SAN 主机名覆盖、所提供证书之间的关联与可选签名验证、CSR 与证书公钥一致性。
不检查：根证书是否受操作系统或浏览器信任、OCSP/CRL 吊销状态、在线服务器实际提供的证书、CT 日志及 CA/Browser Forum 合规性。自动诊断仅供参考，不保证发现所有问题。
隐私保护与导出
解析、哈希和签名验证均通过浏览器 Web Crypto API 在本地完成，不写入 localStorage 或 IndexedDB。若输入中包含 PRIVATE KEY 块，工具会停止处理并丢弃内容。
结果可导出为 JSON、CSV 或独立 HTML 报告，支持 PEM 与 DER 互转并自动校验转换结果，还会生成等效的 openssl x509 / req / verify 命令（仅作为文本，不会执行）。
常见问题
证书或 CSR 会被上传到服务器吗？
不会。所有解析和检查都在浏览器标签页内完成，文件不会离开您的设备，关闭标签页后不留任何数据。
可以检查正在运行的网站的 SSL 证书吗？
不可以。本工具不是在线 SSL 检测服务，不会连接任何服务器。请从服务器或浏览器导出证书文件后在此检查。
能判断证书是否受浏览器信任或已被吊销吗？
不能。本工具不评估操作系统或浏览器的信任存储，也不查询 OCSP/CRL。它只能确认您提供的证书链在结构和签名上是否连贯。
不小心粘贴了私钥会怎样？
工具检测到 PRIVATE KEY 块后会拒绝处理并丢弃内容，同时提示被拒绝的输入。如果私钥可能已在别处泄露，请考虑更换密钥。
CN 正确却仍然报证书错误，为什么？
现代客户端只根据 SAN 匹配主机名，不再使用 CN。请在 SAN 标签页和主机名检查中确认；如果名称未列出，需要重新签发包含该 SAN 的证书。