Ir para o conteúdo principal
Bethemesh
Segurança e privacidade

Inspetor de certificado X.509 e CSR

Cole um certificado ou um pedido de assinatura (CSR) em PEM para ler o sujeito, o emissor, o número de série, as datas de validade e dias restantes, os SAN, o algoritmo da chave e a impressão digital SHA-256. Análise local.

  • Área de transferência

Integrar este widget

Personalize o resultado, verifique a pré-visualização e copie o código.

Pré-visualização

Tipo de código de integração

Código a copiar

Responsivo e redimensionado automaticamente pela Bethemesh.

Leitura local da estrutura ASN.1: a ferramenta não verifica a cadeia de confiança nem a revogação. Um ficheiro fullchain.pem mostra uma ficha por certificado.

Esta ferramenta foi útil?

Como funciona esta ferramenta?

Este inspetor descodifica um certificado X.509 ou um pedido de assinatura de certificado (CSR) em formato PEM e apresenta um resumo legível: sujeito, emissor, número de série, datas de validade, nomes alternativos, chave pública e impressão digital SHA-256. Destina-se a administradores e programadores que preparam, renovam ou depuram um certificado TLS sem quererem decifrar a saída do openssl.

Um ficheiro PEM (RFC 7468) é apenas a codificação Base64 de uma estrutura binária DER, delimitada por uma linha -----BEGIN CERTIFICATE----- ou -----BEGIN CERTIFICATE REQUEST-----. A ferramenta descodifica esse Base64 e percorre a estrutura ASN.1 no navegador. Num certificado X.509 v3 (RFC 5280), lê o número de série, o emissor, o sujeito, o período de validade notBefore/notAfter, a informação da chave pública (por exemplo RSA de 2048 bits ou EC P-256) e a extensão Subject Alternative Name, que enumera os nomes DNS e endereços IP abrangidos. Compara a data de expiração com o relógio do seu dispositivo para indicar os dias restantes ou «expirado».

Um CSR segue o formato PKCS #10 (RFC 2986): contém o sujeito pedido, a chave pública e, normalmente, os SAN pretendidos no atributo extensionRequest, tudo assinado com a chave privada correspondente. Por isso não tem emissor nem datas de validade, que só são definidos quando a autoridade de certificação assina o certificado. A impressão digital SHA-256 é calculada com a Web Crypto sobre todos os bytes DER: é o mesmo valor que openssl x509 -noout -fingerprint -sha256 ou a vista «Impressão digital» de um navegador, exceto os dois pontos e as maiúsculas. O resumo pode ser exportado em JSON; a ferramenta não verifica, no entanto, a cadeia de confiança nem a revogação.

Como usar esta ferramenta

  1. Cole ou importe o PEM

    Cole o bloco -----BEGIN CERTIFICATE----- ou -----BEGIN CERTIFICATE REQUEST-----, ou importe um ficheiro .pem, .crt, .cer ou .csr em formato de texto.

  2. Execute a inspeção

    A ferramenta deteta se se trata de um certificado ou de um CSR e apresenta o resumo: sujeito, emissor, número de série, datas com dias restantes, algoritmo da chave, SAN e impressão digital SHA-256.

  3. Verifique e exporte

    Confirme os nomes, as datas e a chave, e copie ou exporte o resumo em JSON para a sua documentação ou o seu ticket.

Dias até à expiração

Dias até à expiração

dias inteiros restantes = parte inteira de ((instante de expiração − instante atual) / 86 400 000 milissegundos)

Casos de uso

Rever um CSR antes de o enviar à autoridade de certificação

Confirme que o CSR gerado pelo seu servidor ou painel de alojamento contém o nome comum correto, todos os SAN necessários (com e sem www) e uma chave suficiente antes de pagar ou iniciar a emissão.

Saber quando expira um certificado

Cole o certificado recebido por e-mail ou obtido num servidor para ver a data de fim e os dias restantes, e planear a renovação a tempo.

Identificar o certificado certo entre vários ficheiros

Perante vários ficheiros .crt ou .pem, compare sujeito, emissor, número de série e impressão digital SHA-256 para saber qual é o certificado do servidor, qual é o intermédio e qual está realmente instalado.

Exemplos

Rejeição de uma chave privada PEM

Entrada

-----BEGIN PRIVATE KEY-----
AA==
-----END PRIVATE KEY-----

Resultado

Tipo não suportado: o inspetor aceita certificados X.509 e pedidos de assinatura (CSR), não chaves privadas.

Dicas e boas práticas

  • Os navegadores ignoram o nome comum (CN) e só consideram os SAN: se um nome de anfitrião não constar deles, o certificado será recusado para esse nome, mesmo que apareça no sujeito.
  • Um ficheiro .cer ou .der pode ser binário: se não começar por -----BEGIN, converta-o primeiro para PEM com openssl x509 -inform der -in cert.der -out cert.pem.
  • Um fullchain.pem contém vários certificados seguidos, com o do servidor em primeiro lugar: cole apenas o bloco que pretende inspecionar e nunca cole uma chave privada (-----BEGIN PRIVATE KEY-----), que aqui não é necessária.

Fontes e referências

Perguntas frequentes

Qual é a diferença entre um CSR e um certificado?

O CSR é o pedido: contém o sujeito, a chave pública e os nomes pretendidos, e é assinado com a sua própria chave privada. O certificado é a resposta da autoridade de certificação: retoma essa informação, acrescenta um emissor, um número de série e datas de validade, e é assinado pela autoridade. A chave privada nunca sai do seu servidor.

Como saber a data de expiração de um certificado?

A data de expiração é o campo notAfter do período de validade. Cole aqui o certificado para a ler com os dias restantes, ou execute openssl x509 -noout -enddate -in cert.pem na linha de comandos. Num site publicado, o navegador também a mostra nos detalhes do cadeado.

O que é o Subject Alternative Name (SAN)?

É a extensão X.509 que enumera todos os nomes DNS e endereços IP para os quais o certificado é válido, por exemplo example.com e www.example.com. Desde que o Chrome a exige (2017) e segundo os Baseline Requirements do CA/Browser Forum, é a única lista usada para validar um nome de anfitrião. Um certificado wildcard *.example.com abrange um nível de subdomínios, mas não o próprio example.com.

Para que serve a impressão digital SHA-256 de um certificado?

A impressão digital é o SHA-256 de todo o certificado codificado em DER: identifica um certificado de forma única sem o copiar por inteiro. Serve para confirmar que o certificado instalado é o esperado, para o fixar (pinning) numa aplicação ou para o encontrar nos registos de Certificate Transparency. Não está guardada no certificado: é recalculada de cada vez.

A ferramenta verifica se o certificado é válido e de confiança?

Não. Descodifica o conteúdo e compara as datas com o seu relógio, mas não verifica a assinatura da autoridade, a cadeia até uma raiz de confiança nem a revogação (OCSP ou CRL). Para isso, utilize openssl verify com a cadeia completa ou um teste de servidor como o SSL Labs.

Qual é a duração máxima de um certificado TLS em 2026?

Desde 15 de março de 2026, os certificados TLS públicos estão limitados a 200 dias, contra 398 anteriormente, segundo a votação SC-081 do CA/Browser Forum. O limite desce para 100 dias a 15 de março de 2027 e para 47 dias a 15 de março de 2029. Automatizar a renovação, por exemplo com ACME, torna-se indispensável.

Ferramentas relacionadas

Continue com estas ferramentas

Ferramentas semelhantes ou complementares a esta.

Ferramentas semelhantes

Comparador de hash

Verifique se dois hashes ou somas de verificação coincidem, independentemente de maiúsculas, espaços ou dois-pontos.

Segurança e privacidadeUtilizar esta ferramenta

Inspetor JWK / JWKS

Analise uma chave JWK ou um JWKS: kid, kty, alg, use, impressão RFC 7638 e aviso se uma chave privada estiver exposta.

Segurança e privacidadeUtilizar esta ferramenta

Gerador de cabeçalhos de segurança

Gere HSTS, nosniff, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP e X-Frame-Options para Nginx ou Apache.

Segurança e privacidadeUtilizar esta ferramenta

Leia também