Certificato e decodificatore CSR (X.509 / PKCS#10)

I certificati e le richieste di firma dei certificati sono documenti densi, con codifica binaria: incollarne uno in un decodificatore online casuale significa affidare al server di uno sconosciuto un file che può contenere i tuoi nomi host interni, il nome legale della tua organizzazione o una chiave pubblica che stai per inviare a un'autorità di certificazione. Questo strumento decodifica i certificati X.509 e i CSR PKCS#10 interamente all'interno della scheda del browser: il testo PEM viene decodificato localmente in base 64 in byte DER grezzi, esaminato campo per campo con un parser valore-lunghezza tag ASN.1 autentico e non viene mai trasmesso da nessuna parte.

Sotto il cofano questo non è un trucco regex o un modello predefinito: è un vero lettore per le regole di codifica DER definite in RFC 5280 (X.509) e RFC 2986 (PKCS#10): legge ogni tag byte, decodifica lunghezze di forma breve e lunga, ricorre nelle costruzioni SEQUENCE e SET e decodifica tipi primitivi come INTEGER, BIT STRING, OCTET STRING e IDENTIFICATORE DELL'OGGETTO. Gli identificatori degli oggetti vengono convertiti da byte grezzi in notazione puntata e confrontati con valori noti, quindi l'output mostra etichette leggibili dall'uomo come CN, O e C per i campi dei nomi e RSA o EC per l'algoritmo a chiave pubblica, invece di un muro di numeri.

Da un certificato, lo strumento estrae la versione, il numero di serie, i nomi distinti dell'emittente e del soggetto, le date di validità notBefore/notAfter (con uno stato in linguaggio semplice valido/scaduto/non ancora valido), l'algoritmo e la dimensione della chiave pubblica (lunghezza in bit del modulo RSA o la curva EC denominata) e, quando presente, l'estensione del nome alternativo del soggetto che elenca ogni nome DNS, indirizzo IP, e-mail o URI coperto dal certificato. Da una CSR estrae l'oggetto, la chiave pubblica e gli eventuali nomi alternativi dell'oggetto richiesti tramite l'attributo PKCS#9 extensionRequest. Un'impronta digitale SHA-256 autentica degli esatti byte DER viene calcolata con l'API Web Crypto nativa del browser e mostrata separata da due punti, lo stesso formato utilizzato dalla maggior parte dei dashboard CA e dell'output openssl.

Una cosa che questo strumento deliberatamente non fa: verificare una catena di fiducia o controllare lo stato di revoca. Per confermare che un certificato è firmato da una radice attendibile, non è scaduto lungo la catena o non è stato revocato tramite OCSP o CRL è necessario contattare un'autorità di certificazione attiva o un risponditore OCSP sulla rete - e questo tipo di richiesta in uscita non trova posto in un decodificatore offline, che mette al primo posto la privacy. Questo strumento ti dice esattamente cosa c'è all'interno del certificato o della CSR che hai incollato; non afferma se dovresti fidarti di esso.