Zertifikat- und CSR-Decoder (X.509 / PKCS#10)

Bei Zertifikaten und Zertifikatssignaturanfragen handelt es sich um dichte, binär codierte Dokumente. Wenn Sie sie in einen beliebigen Online-Decoder einfügen, vertrauen Sie dem Server eines Fremden eine Datei an, die Ihre internen Hostnamen, den offiziellen Namen Ihrer Organisation oder einen öffentlichen Schlüssel enthalten kann, den Sie einer Zertifizierungsstelle übermitteln möchten. Dieses Tool dekodiert X.509-Zertifikate und PKCS#10-CSRs vollständig in Ihrem Browser-Tab: Der PEM-Text wird lokal mit Base64 in rohe DER-Bytes dekodiert, Feld für Feld mit einem echten ASN.1-Tag-Längen-Wert-Parser durchsucht und nie irgendwohin übertragen.

Unter der Haube handelt es sich hierbei nicht um einen Regex-Trick oder eine vorgefertigte Vorlage – es handelt sich um einen echten Leser für die in RFC 5280 (X.509) und RFC 2986 (PKCS#10) definierten DER-Kodierungsregeln: Es liest jedes Tag-Byte, dekodiert Kurz- und Langformlängen, führt eine Rekursion in SEQUENCE- und SET-Konstruktionen durch und dekodiert primitive Typen wie INTEGER, BIT STRING, OCTET STRING und OBJECT IDENTIFIKATOR. Objektbezeichner werden von Rohbytes in Punktnotation umgewandelt und mit bekannten Werten abgeglichen, sodass die Ausgabe für Menschen lesbare Beschriftungen wie CN, O und C für Namensfelder und RSA oder EC für den Public-Key-Algorithmus anstelle einer Zahlenwand anzeigt.

Aus einem Zertifikat extrahiert das Tool die Version, die Seriennummer, die Distinguished Names des Ausstellers und des Antragstellers, die Gültigkeitsdaten „notBefore“/„notAfter“ (mit einem Klartext-Status „gültig/abgelaufen/noch nicht gültig“), den Algorithmus und die Größe des öffentlichen Schlüssels – RSA-Modul-Bitlänge oder die benannte EC-Kurve – und, falls vorhanden, die Erweiterung „Subject Alternative Name“, die alle DNS-Namen, IP-Adressen, E-Mail-Adressen oder URIs auflistet, die das Zertifikat abdeckt. Aus einer CSR werden der Betreff, der öffentliche Schlüssel und alle über das PKCS#9-Attribut extensionRequest angeforderten alternativen Betreffnamen extrahiert. Ein echter SHA-256-Fingerabdruck der genauen DER-Bytes wird mit der nativen Web-Crypto-API des Browsers berechnet und durch Doppelpunkte getrennt angezeigt, das gleiche Format, das die meisten CA-Dashboards und OpenSSL-Ausgaben verwenden.

Eines tut dieses Tool bewusst nicht: die Überprüfung einer Vertrauenskette oder die Überprüfung des Sperrstatus. Um zu bestätigen, dass ein Zertifikat von einem vertrauenswürdigen Stamm signiert ist, nicht in der Kette abgelaufen ist oder nicht über OCSP oder eine CRL widerrufen wurde, muss eine Live-Zertifizierungsstelle oder ein OCSP-Responder über das Netzwerk kontaktiert werden – und diese Art von ausgehender Anfrage hat in einem Offline-Decoder, bei dem der Datenschutz an erster Stelle steht, keinen Platz. Dieses Tool sagt Ihnen genau, was in dem von Ihnen eingefügten Zertifikat oder CSR enthalten ist. Es erhebt keinen Anspruch darauf, ob Sie ihm vertrauen sollten.