証明書パーサー

X.509証明書はTLS/SSLで使用される公開鍵証明書の標準フォーマットです。このツールはPEMエンコードされた証明書を解析し、サブジェクト、発行者、有効期間、公開鍵の詳細、拡張機能を表示します。HTTPS接続の問題のデバッグに不可欠です。

仕様

よくあるユースケース

SSL/TLS接続エラーのデバッグ（「証明書の期限切れ」）
証明書が正しいドメイン名をカバーしているか確認
更新計画のための証明書有効期限の確認
チェーン内の中間証明書とルート証明書の検査
証明書の属性がコンプライアンス要件を満たしているか検証

機能

PEMエンコードされた証明書の解析（-----BEGIN CERTIFICATE-----）
サブジェクトと発行者の識別名を表示
有効期間の表示（Not Before / Not After）
公開鍵のアルゴリズムとサイズを抽出
Subject Alternative Names（SAN）を表示
証明書拡張機能の表示（Key Usage、Extended Key Usage、Basic Constraints）
Authority/Subject Key Identifierの表示
CRL配布ポイントとAuthority Information AccessのURL

例

自己署名証明書

試してみる →

Subject Alternative Namesを持つexample.com用のX.509証明書。

秘密鍵

試してみる →

PKCS#8形式の対応するRSA秘密鍵。

ヒント

ブラウザから証明書をエクスポート: 鍵アイコンをクリック > 証明書 > 詳細 > エクスポート。
サイトの証明書を取得: openssl s_client -connect example.com:443
SAN（Subject Alternative Names）はすべての有効なドメイン名を一覧表示します。
ルート証明書は自己署名（発行者 = サブジェクト）です。
証明書チェーンの確認: openssl verify -CAfile ca.pem cert.pem

解説証明書パーサー

X.509証明書はインターネットにおける信頼の基盤であり、HTTPS接続のTLS/SSL暗号化、コード署名、メールセキュリティ（S/MIME）、VPN認証を可能にします。証明書は公開鍵をアイデンティティ（ドメイン名、組織、または個人）に紐付け、認証局（CA）がこの紐付けをデジタル署名することで保証します。

証明書は通常PEM形式で保存されます。これはBase64エンコードされたDERデータが-----BEGIN CERTIFICATE-----と-----END CERTIFICATE-----のマーカーで囲まれたものです。証明書にはサブジェクト（証明書が識別する対象）、発行者（署名した者）、有効期間（Not BeforeとNot Afterの日付）、サブジェクトの公開鍵、および使用法を制御する拡張機能が含まれます。Subject Alternative Name（SAN）拡張機能は、証明書がカバーするすべてのドメイン名を一覧表示します。

証明書チェーンは、エンドエンティティ証明書を1つ以上の中間CAを通じて信頼されたルートCAにリンクすることで信頼を確立します。ブラウザがWebサイトに接続すると、チェーンを検証します: サーバーの証明書が中間CAによって署名され、その中間CAがブラウザが信頼するルートCAによって署名されているかを確認します。壊れたチェーン（中間証明書の欠落や不明なルート）は、おなじみの「この接続ではプライバシーが保護されません」エラーを引き起こします。

証明書管理は障害の一般的な原因です。期限切れの証明書は即座にサービス中断を引き起こします。ドメイン名の不一致はブラウザ警告を発生させます。中間証明書の欠落は一部のブラウザ（キャッシュまたは取得する可能性がある）では動作しますが、他のブラウザやAPIクライアントでは失敗します。Let's Encryptやcertbotなどのツールで証明書の有効期限を監視し、更新を自動化することは、信頼性の高い運用に不可欠です。

証明書の有効期限を確認するには、PEMコンテンツをこのツールに貼り付けてNot Afterの日付を確認してください。コマンドラインからは、ローカルファイルの場合はopenssl x509 -enddate -noout -in cert.pemを実行し、リモートサーバーの場合はopenssl s_client -connect example.com:443をopenssl x509 -noout -enddateにパイプします。certbot、cert-manager、または専用の監視サービスによる自動監視は、障害を防ぐために有効期限のかなり前にアラートを出すことができます。

ルート証明書は自己署名（発行者がサブジェクトと等しい）であり、トラストアンカーとしてブラウザやオペレーティングシステムにプリインストールされています。中間証明書はルートCAによって署名され、エンドエンティティ証明書の署名に使用されます。この信頼のチェーンはルート鍵を保護します。中間証明書が侵害された場合、ルートではなくその中間証明書のみが失効されます。サーバーは完全なチェーン（エンドエンティティとすべての中間証明書）を送信する必要がありますが、ルート証明書自体は含めるべきではありません。

Subject Alternative Names（SAN）は、証明書が有効なすべてのドメイン名とIPアドレスを一覧表示します。単一の証明書でSANを使用してexample.com、www.example.com、api.example.comなどの複数のドメインを保護できます。最新のブラウザはドメイン検証にCommon Name（CN）フィールドではなくSANを使用します。ワイルドカード証明書（*.example.com）は1レベルのサブドメインをカバーしますが、ネイキッドドメイン自体はカバーしません。

ブラウザでは動作するがAPIクライアントでは失敗する証明書は、不完全な証明書チェーンが原因の一般的な問題です。ブラウザはより寛容で、AIA（Authority Information Access）フェッチングで欠落した中間証明書を自動的に取得したり、以前にキャッシュした中間証明書を使用したりします。curl、Node.js、PythonのrequestsライブラリなどのAPIクライアントは通常、完全なチェーンがサーバーから送信されることを要求します。サーバーがエンドエンティティ証明書とすべての中間証明書を送信するように構成されていることを確認し、curl -vまたはopenssl s_clientでチェーンの完全性をテストしてください。

← すべてのツールに戻る

証明書パーサー

仕様

よくあるユースケース

機能

例

自己署名証明書

秘密鍵

ヒント

解説 証明書パーサー

解説証明書パーサー