Ir al contenido principal
Bethemesh
Seguridad y privacidad

Inspector de certificado X.509 y CSR

Pega un certificado o una solicitud de firma (CSR) en PEM para leer su sujeto, emisor, número de serie, fechas de validez y días restantes, SAN, algoritmo de clave y huella SHA-256. Análisis local.

  • Portapapeles

Integrar este widget

Personaliza el aspecto, comprueba la vista previa y copia el código.

Vista previa

Tipo de código de integración

Código para copiar

Se adapta a tu página y Bethemesh ajusta su tamaño automáticamente.

Lectura local de la estructura ASN.1: la herramienta no comprueba ni la cadena de confianza ni la revocación. Un archivo fullchain.pem muestra una ficha por certificado.

¿Te ha resultado útil esta herramienta?

¿Cómo funciona esta herramienta?

Este inspector decodifica un certificado X.509 o una solicitud de firma de certificado (CSR) en formato PEM y muestra un resumen legible: sujeto, emisor, número de serie, fechas de validez, nombres alternativos, clave pública y huella SHA-256. Está pensado para administradores y desarrolladores que preparan, renuevan o depuran un certificado TLS sin querer descifrar la salida de openssl.

Un archivo PEM (RFC 7468) no es más que la codificación Base64 de una estructura binaria DER, delimitada por una línea -----BEGIN CERTIFICATE----- o -----BEGIN CERTIFICATE REQUEST-----. La herramienta decodifica ese Base64 y recorre la estructura ASN.1 en el navegador. En un certificado X.509 v3 (RFC 5280) lee el número de serie, el emisor, el sujeto, el periodo de validez notBefore/notAfter, la información de la clave pública (por ejemplo RSA de 2048 bits o EC P-256) y la extensión Subject Alternative Name, que enumera los nombres DNS y las direcciones IP cubiertos. Compara la fecha de caducidad con el reloj de tu dispositivo para indicar los días restantes o «caducado».

Una CSR sigue el formato PKCS #10 (RFC 2986): contiene el sujeto solicitado, la clave pública y, casi siempre, los SAN deseados en el atributo extensionRequest, todo firmado con la clave privada correspondiente. Por eso no tiene emisor ni fechas de validez, que solo se fijan cuando la autoridad de certificación firma el certificado. La huella SHA-256 se calcula con Web Crypto sobre todos los bytes DER: es el mismo valor que openssl x509 -noout -fingerprint -sha256 o que la vista «Huella digital» de un navegador, salvo los dos puntos y las mayúsculas. El resumen se puede exportar en JSON; la herramienta no comprueba, en cambio, la cadena de confianza ni la revocación.

Cómo utilizar esta herramienta

  1. Pega o importa el PEM

    Pega el bloque -----BEGIN CERTIFICATE----- o -----BEGIN CERTIFICATE REQUEST-----, o importa un archivo .pem, .crt, .cer o .csr en formato texto.

  2. Lanza la inspección

    La herramienta detecta si es un certificado o una CSR y muestra el resumen: sujeto, emisor, número de serie, fechas con días restantes, algoritmo de clave, SAN y huella SHA-256.

  3. Revisa y exporta

    Comprueba los nombres, las fechas y la clave, y copia o exporta el resumen en JSON para tu documentación o tu ticket.

Días hasta el vencimiento

Días hasta el vencimiento

días enteros restantes = parte entera de ((fecha de vencimiento − fecha actual) / 86.400.000 milisegundos)

Casos de uso

Revisar una CSR antes de enviarla a la autoridad de certificación

Comprueba que la CSR generada por tu servidor o tu panel de hosting contiene el nombre común correcto, todos los SAN necesarios (con y sin www) y una clave suficiente antes de pagar o iniciar la emisión.

Saber cuándo caduca un certificado

Pega el certificado recibido por correo o sacado de un servidor para ver su fecha de fin y los días restantes, y planificar la renovación a tiempo.

Identificar el certificado correcto entre varios archivos

Ante varios archivos .crt o .pem, compara sujeto, emisor, número de serie y huella SHA-256 para saber cuál es el certificado del servidor, cuál el intermedio y cuál está realmente desplegado.

Ejemplos

Rechazo de una clave privada PEM

Entrada

-----BEGIN PRIVATE KEY-----
AA==
-----END PRIVATE KEY-----

Resultado

Este tipo de bloque PEM no es compatible: solo se leen certificados y CSR (nunca claves privadas).

Consejos y buenas prácticas

  • Los navegadores ignoran el nombre común (CN) y solo miran los SAN: si un nombre de host no figura en ellos, el certificado se rechazará para ese nombre aunque aparezca en el sujeto.
  • Un archivo .cer o .der puede ser binario: si no empieza por -----BEGIN, conviértelo antes a PEM con openssl x509 -inform der -in cert.der -out cert.pem.
  • Un fullchain.pem contiene varios certificados seguidos, el del servidor primero: pega solo el bloque que quieres inspeccionar y nunca pegues una clave privada (-----BEGIN PRIVATE KEY-----), que aquí no hace falta.

Fuentes y referencias

Preguntas frecuentes

¿Qué diferencia hay entre una CSR y un certificado?

La CSR es la solicitud: contiene el sujeto, la clave pública y los nombres deseados, y va firmada con tu propia clave privada. El certificado es la respuesta de la autoridad de certificación: recoge esa información, añade un emisor, un número de serie y fechas de validez, y lo firma la autoridad. La clave privada nunca sale de tu servidor.

¿Cómo sé la fecha de caducidad de un certificado?

La fecha de caducidad es el campo notAfter del periodo de validez. Pega aquí el certificado para leerla con los días restantes o ejecuta openssl x509 -noout -enddate -in cert.pem en la línea de comandos. En una web publicada, el navegador también la muestra en los detalles del candado.

¿Qué es el Subject Alternative Name (SAN)?

Es la extensión X.509 que enumera todos los nombres DNS y direcciones IP para los que el certificado es válido, por ejemplo example.com y www.example.com. Desde que Chrome la exige (2017) y según los Baseline Requirements del CA/Browser Forum, es la única lista que se usa para validar un nombre de host. Un comodín *.example.com cubre un nivel de subdominios, pero no example.com.

¿Para qué sirve la huella SHA-256 de un certificado?

La huella es el SHA-256 de todo el certificado codificado en DER: identifica un certificado de forma única sin copiarlo entero. Sirve para confirmar que el certificado desplegado es el esperado, para fijarlo en una aplicación o para buscarlo en los registros de Certificate Transparency. No se guarda en el certificado, se recalcula cada vez.

¿La herramienta comprueba que el certificado es válido y de confianza?

No. Decodifica el contenido y compara las fechas con tu reloj, pero no verifica la firma de la autoridad, ni la cadena hasta una raíz de confianza, ni la revocación (OCSP o CRL). Para eso, usa openssl verify con la cadena completa o una prueba de servidor como SSL Labs.

¿Cuál es la duración máxima de un certificado TLS en 2026?

Desde el 15 de marzo de 2026, los certificados TLS públicos están limitados a 200 días, frente a los 398 anteriores, según la votación SC-081 del CA/Browser Forum. El límite bajará a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Automatizar la renovación, por ejemplo con ACME, se vuelve imprescindible.

Herramientas relacionadas

Continúa con estas herramientas

Herramientas similares o complementarias a esta.

Herramientas similares

Comparador de hash

Comprueba si dos hash o sumas de verificación coinciden, sin importar mayúsculas, espacios ni dos puntos.

Seguridad y privacidadUsar esta herramienta

Inspector JWK / JWKS

Analiza una clave JWK o un JWKS: kid, kty, alg, use, huella RFC 7638 y aviso si se expone una clave privada.

Seguridad y privacidadUsar esta herramienta

Generador de cabeceras de seguridad

Genera HSTS, nosniff, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP y X-Frame-Options para Nginx o Apache.

Seguridad y privacidadUsar esta herramienta

También te puede interesar