Vai al contenuto principale
Bethemesh
Sicurezza e privacy

Ispettore certificato X.509 e CSR

Incolla un certificato o una richiesta di firma (CSR) in PEM per leggere soggetto, emittente, numero di serie, date di validità e giorni rimanenti, SAN, algoritmo della chiave e impronta SHA-256. Analisi locale.

  • Appunti

Integra questo widget

Personalizza il risultato, controlla l’anteprima e copia il codice.

Anteprima

Tipo di codice di integrazione

Codice da copiare

Responsive e ridimensionato automaticamente da Bethemesh.

Lettura locale della struttura ASN.1: lo strumento non verifica né la catena di fiducia né la revoca. Un file fullchain.pem mostra una scheda per certificato.

Questo strumento ti è stato utile?

Come funziona questo strumento?

Questo ispettore decodifica un certificato X.509 o una richiesta di firma di certificato (CSR) in formato PEM e ne mostra un riepilogo leggibile: soggetto, emittente, numero di serie, date di validità, nomi alternativi, chiave pubblica e impronta SHA-256. È pensato per amministratori e sviluppatori che preparano, rinnovano o fanno debug di un certificato TLS senza voler decifrare l’output di openssl.

Un file PEM (RFC 7468) è solo la codifica Base64 di una struttura binaria DER, racchiusa da una riga -----BEGIN CERTIFICATE----- o -----BEGIN CERTIFICATE REQUEST-----. Lo strumento decodifica questo Base64 e percorre la struttura ASN.1 nel browser. Per un certificato X.509 v3 (RFC 5280) legge il numero di serie, l’emittente, il soggetto, il periodo di validità notBefore/notAfter, le informazioni sulla chiave pubblica (ad esempio RSA 2048 bit o EC P-256) e l’estensione Subject Alternative Name, che elenca i nomi DNS e gli indirizzi IP coperti. Confronta la data di scadenza con l’orologio del tuo dispositivo per indicare i giorni rimanenti o «scaduto».

Una CSR segue il formato PKCS #10 (RFC 2986): contiene il soggetto richiesto, la chiave pubblica e, di solito, i SAN desiderati nell’attributo extensionRequest, il tutto firmato con la chiave privata corrispondente. Non ha quindi né emittente né date di validità, che vengono fissati solo quando l’autorità di certificazione firma il certificato. L’impronta SHA-256 è calcolata con Web Crypto sui byte DER completi: è lo stesso valore di openssl x509 -noout -fingerprint -sha256 o della vista «Impronta digitale» di un browser, a parte i due punti e le maiuscole. Il riepilogo si può esportare in JSON; lo strumento non verifica invece la catena di fiducia né la revoca.

Come usare questo strumento

  1. Incolla o importa il PEM

    Incolla il blocco -----BEGIN CERTIFICATE----- o -----BEGIN CERTIFICATE REQUEST-----, oppure importa un file .pem, .crt, .cer o .csr in formato testo.

  2. Avvia l’ispezione

    Lo strumento riconosce se si tratta di un certificato o di una CSR e mostra il riepilogo: soggetto, emittente, numero di serie, date con giorni rimanenti, algoritmo della chiave, SAN e impronta SHA-256.

  3. Controlla ed esporta

    Verifica nomi, date e chiave, poi copia o esporta il riepilogo in JSON per la tua documentazione o il tuo ticket.

Giorni alla scadenza

Giorni alla scadenza

giorni interi rimanenti = floor((data di scadenza − data attuale) / 86.400.000 millisecondi)

Casi d’uso

Controllare una CSR prima di inviarla all’autorità di certificazione

Verifica che la CSR generata dal tuo server o dal pannello di hosting contenga il nome comune corretto, tutti i SAN necessari (con e senza www) e una chiave adeguata prima di pagare o avviare l’emissione.

Sapere quando scade un certificato

Incolla il certificato ricevuto via email o recuperato da un server per vedere la data di fine e i giorni rimanenti, e pianificare il rinnovo in tempo.

Riconoscere il certificato giusto tra più file

Davanti a più file .crt o .pem, confronta soggetto, emittente, numero di serie e impronta SHA-256 per capire qual è il certificato del server, quale l’intermedio e quale è davvero in uso.

Esempi

Rifiuto di una chiave privata PEM

Input

-----BEGIN PRIVATE KEY-----
AA==
-----END PRIVATE KEY-----

Risultato

Questo tipo di blocco PEM non è supportato: si leggono solo certificati e CSR (mai chiavi private).

Consigli e buone pratiche

  • I browser ignorano il nome comune (CN) e guardano solo i SAN: se un nome host non vi compare, il certificato verrà rifiutato per quel nome anche se è presente nel soggetto.
  • Un file .cer o .der può essere binario: se non inizia con -----BEGIN, convertilo prima in PEM con openssl x509 -inform der -in cert.der -out cert.pem.
  • Un fullchain.pem contiene più certificati in sequenza, quello del server per primo: incolla solo il blocco che vuoi ispezionare e non incollare mai una chiave privata (-----BEGIN PRIVATE KEY-----), che qui non serve.

Fonti e riferimenti

Domande frequenti

Che differenza c’è tra una CSR e un certificato?

La CSR è la richiesta: contiene il soggetto, la chiave pubblica e i nomi desiderati, ed è firmata con la tua chiave privata. Il certificato è la risposta dell’autorità di certificazione: riprende queste informazioni, aggiunge un emittente, un numero di serie e date di validità, ed è firmato dall’autorità. La chiave privata non lascia mai il tuo server.

Come si conosce la data di scadenza di un certificato?

La data di scadenza è il campo notAfter del periodo di validità. Incolla qui il certificato per leggerla con i giorni rimanenti, oppure esegui openssl x509 -noout -enddate -in cert.pem da riga di comando. Per un sito online, anche il browser la mostra nei dettagli del lucchetto.

Cos’è il Subject Alternative Name (SAN)?

È l’estensione X.509 che elenca tutti i nomi DNS e gli indirizzi IP per cui il certificato è valido, ad esempio example.com e www.example.com. Da quando Chrome la richiede (2017) e secondo i Baseline Requirements del CA/Browser Forum, è l’unico elenco usato per validare un nome host. Un certificato wildcard *.example.com copre un solo livello di sottodomini, ma non example.com stesso.

A cosa serve l’impronta SHA-256 di un certificato?

L’impronta è lo SHA-256 dell’intero certificato codificato in DER: identifica un certificato in modo univoco senza copiarlo per intero. Serve a confermare che il certificato in uso è quello atteso, a fissarlo (pinning) in un’app o a ritrovarlo nei log di Certificate Transparency. Non è memorizzata nel certificato: viene ricalcolata ogni volta.

Lo strumento verifica che il certificato sia valido e affidabile?

No. Decodifica il contenuto e confronta le date con il tuo orologio, ma non verifica la firma dell’autorità, né la catena fino a una radice attendibile, né la revoca (OCSP o CRL). Per questo usa openssl verify con la catena completa o un test del server come SSL Labs.

Qual è la durata massima di un certificato TLS nel 2026?

Dal 15 marzo 2026 i certificati TLS pubblici sono limitati a 200 giorni, contro i 398 precedenti, in base al voto SC-081 del CA/Browser Forum. Il limite scenderà a 100 giorni il 15 marzo 2027 e a 47 giorni il 15 marzo 2029. Automatizzare il rinnovo, ad esempio con ACME, diventa indispensabile.

Strumenti correlati

Continua con questi strumenti

Strumenti simili o complementari a questo.

Strumenti simili

Confronto hash

Verifica se due hash o somme di controllo coincidono, indipendentemente da maiuscole, spazi o due punti.

Sicurezza e privacyUsa questo strumento

Ispettore JWK / JWKS

Analizza una chiave JWK o un JWKS: kid, kty, alg, use, impronta RFC 7638 e avviso se una chiave privata è esposta.

Sicurezza e privacyUsa questo strumento

Generatore di header di sicurezza

Genera HSTS, nosniff, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP e X-Frame-Options per Nginx o Apache.

Sicurezza e privacyUsa questo strumento

Leggi anche