Parser de Certificados

Certificados X.509 sao o formato padrao para certificados de chave publica usados em TLS/SSL. Esta ferramenta analisa certificados codificados em PEM para exibir o sujeito, emissor, periodo de validade, detalhes da chave publica e extensoes. Essencial para depurar problemas de conexao HTTPS.

Especificacoes

Casos de Uso Comuns

Depurar erros de conexao SSL/TLS ("certificado expirado")
Verificar se o certificado cobre os nomes de dominio corretos
Verificar datas de expiracao do certificado para planejamento de renovacao
Inspecionar certificados intermediarios e raiz em uma cadeia
Verificar se os atributos do certificado atendem aos requisitos de conformidade

Funcionalidades

Analisar certificados codificados em PEM (-----BEGIN CERTIFICATE-----)
Exibir nomes distintos do sujeito e emissor
Mostrar periodo de validade (Nao Antes / Nao Depois)
Extrair algoritmo e tamanho da chave publica
Exibir Nomes Alternativos do Sujeito (SANs)
Mostrar extensoes do certificado (Key Usage, Extended Key Usage, Basic Constraints)
Exibicao de Authority/Subject Key Identifier
URLs de CRL Distribution Points e Authority Information Access

Exemplos

Certificado Autoassinado

Experimente →

Um certificado X.509 para example.com com Subject Alternative Names.

Chave Privada

Experimente →

Uma chave privada RSA correspondente no formato PKCS#8.

Dicas

Exporte um certificado do navegador: clique no cadeado > Certificado > Detalhes > Exportar.
Obtenha o certificado de um site com: openssl s_client -connect example.com:443
SANs (Subject Alternative Names) listam todos os nomes de dominio validos.
Certificados raiz sao autoassinados (emissor = sujeito).
Verifique a cadeia de certificados com: openssl verify -CAfile ca.pem cert.pem

Entendendo Parser de Certificados

Certificados X.509 sao a base da confianca na internet, habilitando criptografia TLS/SSL para conexoes HTTPS, assinatura de codigo, seguranca de email (S/MIME) e autenticacao VPN. Um certificado vincula uma chave publica a uma identidade (nome de dominio, organizacao ou individuo), e uma Autoridade Certificadora (CA) atesta esse vinculo assinando digitalmente o certificado.

Certificados sao tipicamente armazenados no formato PEM — dados DER codificados em Base64 delimitados entre marcadores -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----. Um certificado contem o sujeito (quem o certificado identifica), o emissor (quem o assinou), um periodo de validade (datas Nao Antes e Nao Depois), a chave publica do sujeito e extensoes que controlam o uso. A extensao Subject Alternative Name (SAN) lista todos os nomes de dominio que o certificado cobre.

Cadeias de certificados estabelecem confianca vinculando um certificado de entidade final a uma CA raiz confiavel atraves de uma ou mais CAs intermediarias. Quando um navegador se conecta a um site, ele verifica a cadeia: o certificado do servidor foi assinado por uma CA intermediaria, que foi assinada por uma CA raiz que o navegador confia. Uma cadeia quebrada — intermediarios ausentes ou uma raiz desconhecida — causa o familiar erro "Sua conexao nao e privada".

O gerenciamento de certificados e uma fonte comum de indisponibilidades. Certificados expirados causam interrupcao imediata do servico. Nomes de dominio incompativeis acionam avisos do navegador. Certificados intermediarios ausentes funcionam em alguns navegadores (que podem armazena-los em cache ou busca-los) mas falham em outros e em clientes de API. Monitorar a expiracao de certificados e automatizar a renovacao com ferramentas como Let's Encrypt e certbot e essencial para operacoes confiaveis.

Para verificar quando um certificado expira, cole o conteudo PEM nesta ferramenta e veja a data Nao Depois. Na linha de comando, execute openssl x509 -enddate -noout -in cert.pem para um arquivo local, ou openssl s_client -connect example.com:443 encaminhado para openssl x509 -noout -enddate para um servidor remoto. Monitoramento automatizado atraves de certbot, cert-manager ou servicos de monitoramento dedicados pode alertar bem antes da expiracao para prevenir indisponibilidades.

Certificados raiz sao autoassinados (o emissor e igual ao sujeito) e vem pre-instalados em navegadores e sistemas operacionais como ancoras de confianca. Certificados intermediarios sao assinados por uma CA raiz e sao usados para assinar certificados de entidade final. Esta cadeia de confianca protege a chave raiz — se um intermediario e comprometido, apenas aquele intermediario e revogado em vez da raiz. Servidores devem enviar a cadeia completa (entidade final mais todos os intermediarios) mas nao devem incluir o certificado raiz em si.

Subject Alternative Names (SANs) listam todos os nomes de dominio e enderecos IP para os quais um certificado e valido. Um unico certificado pode proteger multiplos dominios como example.com, www.example.com e api.example.com usando SANs. Navegadores modernos usam SANs em vez do campo Common Name (CN) para validacao de dominio. Certificados wildcard (*.example.com) cobrem um nivel de subdominios, mas nao o dominio apex em si.

Um certificado que funciona em navegadores mas falha em clientes de API e um problema comum causado por cadeias de certificados incompletas. Navegadores sao mais tolerantes — alguns buscam intermediarios ausentes automaticamente atraves de busca AIA (Authority Information Access) ou usam intermediarios previamente em cache. Clientes de API como curl, Node.js e a biblioteca requests do Python tipicamente requerem que a cadeia completa seja enviada pelo servidor. Certifique-se de que seu servidor esta configurado para enviar o certificado de entidade final mais todos os certificados intermediarios, e teste com curl -v ou openssl s_client para verificar se a cadeia esta completa.

← Voltar para todas as ferramentas