Decodificatore di certificati e CSR (X.509 / PKCS#10)

I certificati e le richieste di firma sono documenti binari complessi – incollarne uno in un decodificatore online a caso significa affidare a un server sconosciuto un file che può contenere hostname interni, il nome legale della tua organizzazione o una chiave pubblica che stai per inviare a una certification authority. Questo strumento decodifica certificati X.509 e CSR PKCS#10 interamente all'interno della scheda del browser: il testo PEM viene decodificato da base64 a byte DER in locale, analizzato campo per campo con un vero parser ASN.1 tag-length-value e mai trasmesso altrove.

Dietro le quinte non c'è un trucco con le regex né un template predefinito – è un lettore reale delle regole di codifica DER definite in RFC 5280 (X.509) e RFC 2986 (PKCS#10): legge ogni byte tag, decodifica le lunghezze in forma breve e lunga, entra ricorsivamente nelle costruzioni SEQUENCE e SET e decodifica tipi primitivi come INTEGER, BIT STRING, OCTET STRING e OBJECT IDENTIFIER. Gli object identifier vengono convertiti dai byte grezzi nella notazione puntata e associati a valori noti, così che l'output mostri etichette leggibili come CN, O e C per i campi del nome e RSA o EC per l'algoritmo della chiave pubblica, invece di una sfilza di numeri.

Da un certificato, lo strumento estrae la versione, il numero di serie, i distinguished name di emittente e soggetto, le date di validità notBefore/notAfter (con l'indicazione in linguaggio naturale valido/scaduto/non ancora valido), l'algoritmo e la dimensione della chiave pubblica – lunghezza in bit del modulo RSA o la curva EC indicata – e, se presente, l'estensione Subject Alternative Name che elenca ogni nome DNS, indirizzo IP, email o URI coperto dal certificato. Da una CSR, estrae il soggetto, la chiave pubblica e qualsiasi Subject Alternative Name richiesto attraverso l'attributo extensionRequest PKCS#9. L'impronta SHA-256 autentica calcolata sui byte DER esatti viene generata con l'API Web Crypto nativa del browser e mostrata con i due punti come separatore, lo stesso formato usato dalla maggior parte delle dashboard delle CA e dall'output di openssl.

C'è una cosa che questo strumento deliberatamente non fa: verificare la catena di fiducia o controllare lo stato di revoca. Confermare che un certificato sia firmato da una root fidata, che non sia scaduto lungo la catena o che non sia stato revocato via OCSP o CRL richiede di contattare una certification authority o un responder OCSP sulla rete – e questo tipo di richiesta in uscita non ha posto in un decodificatore offline che rispetta la privacy. Questo strumento dice esattamente cosa c'è dentro il certificato o la CSR che hai incollato; non avanza alcuna pretesa riguardo alla sua affidabilità.