Analizador de certificados

Los certificados X.509 son el formato estándar para certificados de clave pública utilizados en TLS/SSL. Esta herramienta analiza certificados codificados en PEM para mostrar el sujeto, emisor, periodo de validez, detalles de clave pública y extensiones. Esencial para depurar problemas de conexión HTTPS.

Especificaciones

Casos de uso comunes

Depurar errores de conexión SSL/TLS ("el certificado ha expirado")
Verificar que el certificado cubra los nombres de dominio correctos
Comprobar fechas de expiración del certificado para planificar renovaciones
Inspeccionar certificados intermedios y raíz en una cadena
Verificar que los atributos del certificado cumplan los requisitos de conformidad

Funcionalidades

Analizar certificados codificados en PEM (-----BEGIN CERTIFICATE-----)
Mostrar nombres distinguidos del sujeto y emisor
Mostrar periodo de validez (No antes de / No después de)
Extraer algoritmo y tamaño de clave pública
Mostrar Nombres Alternativos del Sujeto (SANs)
Mostrar extensiones del certificado (Uso de clave, Uso de clave extendido, Restricciones básicas)
Visualización de Identificador de clave de autoridad/sujeto
Puntos de distribución de CRL y URLs de Acceso a Información de Autoridad

Ejemplos

Certificado autofirmado

Pruébalo →

Un certificado X.509 para example.com con Nombres Alternativos del Sujeto.

Clave privada

Pruébalo →

Una clave privada RSA correspondiente en formato PKCS#8.

Consejos

Exportar un certificado desde el navegador: clic en el candado > Certificado > Detalles > Exportar.
Obtener el certificado de un sitio con: openssl s_client -connect example.com:443
Los SANs (Nombres Alternativos del Sujeto) listan todos los nombres de dominio válidos.
Los certificados raíz son autofirmados (emisor = sujeto).
Verificar la cadena de certificados con: openssl verify -CAfile ca.pem cert.pem

Comprender Analizador de certificados

Los certificados X.509 son la base de la confianza en internet, habilitando el cifrado TLS/SSL para conexiones HTTPS, firma de código, seguridad de correo electrónico (S/MIME) y autenticación VPN. Un certificado vincula una clave pública a una identidad (nombre de dominio, organización o individuo), y una Autoridad de Certificación (CA) avala este vínculo firmando digitalmente el certificado.

Los certificados se almacenan típicamente en formato PEM — datos DER codificados en Base64 encerrados entre marcadores -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----. Un certificado contiene el sujeto (a quién identifica el certificado), el emisor (quién lo firmó), un periodo de validez (fechas No Antes De y No Después De), la clave pública del sujeto y extensiones que controlan el uso. La extensión de Nombre Alternativo del Sujeto (SAN) lista todos los nombres de dominio que el certificado cubre.

Las cadenas de certificados establecen confianza vinculando un certificado de entidad final a una CA raíz de confianza a través de una o más CAs intermedias. Cuando un navegador se conecta a un sitio web, verifica la cadena: el certificado del servidor fue firmado por una CA intermedia, que fue firmada por una CA raíz en la que el navegador confía. Una cadena rota — intermedios faltantes o una raíz desconocida — causa el familiar error "Su conexión no es privada".

La gestión de certificados es una fuente común de interrupciones. Los certificados expirados causan interrupciones de servicio inmediatas. Los nombres de dominio no coincidentes provocan advertencias del navegador. Los certificados intermedios faltantes funcionan en algunos navegadores (que pueden almacenarlos en caché o recuperarlos) pero fallan en otros y en clientes de API. Monitorear la expiración de certificados y automatizar la renovación con herramientas como Let's Encrypt y certbot es esencial para operaciones confiables.

Para verificar cuándo expira un certificado, pegue el contenido PEM en esta herramienta y observe la fecha No Después De. Desde la línea de comandos, ejecute openssl x509 -enddate -noout -in cert.pem para un archivo local, u openssl s_client -connect example.com:443 canalizado a openssl x509 -noout -enddate para un servidor remoto. El monitoreo automatizado a través de certbot, cert-manager o servicios de monitoreo dedicados puede alertar con anticipación antes de la expiración para prevenir interrupciones.

Los certificados raíz son autofirmados (el emisor es igual al sujeto) y vienen preinstalados en navegadores y sistemas operativos como anclas de confianza. Los certificados intermedios son firmados por una CA raíz y se usan para firmar certificados de entidad final. Esta cadena de confianza protege la clave raíz — si un intermedio se ve comprometido, solo ese intermedio se revoca en lugar de la raíz. Los servidores deben enviar la cadena completa (entidad final más todos los intermedios) pero no deben incluir el certificado raíz en sí.

Los Nombres Alternativos del Sujeto (SANs) listan todos los nombres de dominio y direcciones IP para los que un certificado es válido. Un solo certificado puede proteger múltiples dominios como example.com, www.example.com y api.example.com usando SANs. Los navegadores modernos usan SANs en lugar del campo Nombre Común (CN) para la validación de dominio. Los certificados comodín (*.example.com) cubren un nivel de subdominios pero no el dominio apex en sí.

Un certificado que funciona en navegadores pero falla en clientes de API es un problema común causado por cadenas de certificados incompletas. Los navegadores son más tolerantes — algunos recuperan intermedios faltantes automáticamente a través de AIA (Acceso a Información de Autoridad) o usan intermedios previamente almacenados en caché. Los clientes de API como curl, Node.js y la biblioteca requests de Python típicamente requieren que el servidor envíe la cadena completa. Asegúrese de que su servidor esté configurado para enviar el certificado de entidad final más todos los certificados intermedios, y pruebe con curl -v u openssl s_client para verificar que la cadena esté completa.

← Volver a todas las herramientas