certificado X.509 e SSL
Um certificado SSL não é uma caixa preta, é um documento estruturado pela norma X.509 (RFC 5280) com campos específicos: quem emitiu, para qual nome, até quando vale e qual chave pública representa. Entender esses campos é o que separa "o cadeado está verde" de saber exatamente o que o navegador validou.
O navegador valida o hostname contra o SAN, não contra o CN; um certificado com CN correto mas SAN incompleto falha na validação moderna.
Certificado emitido acima de 398 dias é rejeitado pelos navegadores principais desde setembro de 2020.
32 bytes que identificam esse certificado exato, úteis para conferir se dois arquivos ou dois lados de uma conexão têm o mesmo certificado.
O CSR (Certificate Signing Request) é o pedido que você gera com sua chave privada e envia à Autoridade Certificadora; ele contém o Subject e a chave pública, mas ainda não foi assinado por ninguém. O certificado é o resultado: o CSR depois de assinado pela CA, com emissor, validade e a assinatura. Esta ferramenta decodifica os dois.
Porque navegadores modernos ignoram o Common Name para validar hostname e checam só o Subject Alternative Name; um certificado emitido só com CN, sem a extensão SAN preenchida com o mesmo domínio, falha na validação mesmo que o CN esteja tecnicamente correto.
Porque o CA/Browser Forum, o grupo que define as regras seguidas pelas autoridades certificadoras confiáveis, reduziu o teto de validade progressivamente, de 5 anos em 2011 para 398 dias a partir de setembro de 2020, para diminuir a janela em que uma chave comprometida ou um domínio revogado continua sendo aceito por um certificado antigo ainda válido.
Ambos identificam o mesmo arquivo binário do certificado, apenas com algoritmos diferentes; SHA-256 é o padrão atual por não ter colisão prática conhecida, o fingerprint SHA-1 aparece só por compatibilidade com ferramentas antigas que ainda o exibem, nunca deve ser o único usado para confirmar identidade.
Sim, a extensão SAN aceita tanto DNS Name quanto IP Address como tipos de entrada, então um certificado pode cobrir tanto `example.com` quanto o IP `10.0.0.1` na mesma lista, útil quando um serviço interno é acessado diretamente pelo endereço em vez de um nome de domínio.
Cole o conteúdo entre -----BEGIN CERTIFICATE----- e -----END----- (ou um CSR, -----BEGIN CERTIFICATE REQUEST-----). A decodificação X.509 acontece no navegador.
A ferramenta decodifica certificados X.509 e pedidos de assinatura (CSR) em PEM, mostrando o titular, os domínios cobertos (SAN), o emissor, a validade, o tamanho e tipo da chave, o algoritmo de assinatura e os fingerprints. Nada é enviado para fora do navegador.
Por privacidade, a decodificação ASN.1/X.509 e o cálculo dos fingerprints rodam inteiramente no seu navegador via WebCrypto. O certificado colado nunca é enviado a nenhum servidor, útil inclusive para certificados internos ou de clientes.