Certifikat- & CSR-avkodare (X.509 / PKCS#10)

Certifikat och certifikatförfrågningar är kompakta, binärkodade dokument – att klistra in ett i en slumpmässig online-avkodare innebär att du litar på en främmande server med en fil som kan innehålla dina interna värdnamn, organisations juridiska namn eller en publik nyckel du strax ska lämna till en certifikatutfärdare. Det här verktyget avkodar X.509-certifikat och PKCS#10 CSR:er helt i din webbläsarflik: PEM-texten base64-avkodas till råa DER-bytar lokalt, gås igenom fält för fält med en äkta ASN.1 tagg-längd-värde-tolk, och sänds aldrig någonstans.

Under huven är detta inte ett regex-trick eller en färdig mall – det är en riktig läsare för DER-kodningsreglerna definierade i RFC 5280 (X.509) och RFC 2986 (PKCS#10): den läser varje taggbyte, avkodar korta och långa längder, går in rekursivt i SEQUENCE- och SET-konstruktioner och avkodar primitiva typer som INTEGER, BIT STRING, OCTET STRING och OBJECT IDENTIFIER. Objektidentifierare omvandlas från råa bytar till punktnotation och matchas mot välkända värden, så att utdatan visar läsbara etiketter som CN, O och C för namnfält och RSA eller EC för algoritmen för publik nyckel istället för en vägg av siffror.

Från ett certifikat hämtar verktyget version, serienummer, ämne och utfärdare (distinguished names), notBefore-/notAfter-giltighetsdatum (med en tydlig status giltig/utgånget/inte ännu giltigt), algoritmen och storleken för publik nyckel – RSA-modulens bitlängd eller den namngivna EC-kurvan – och, när det finns, Subject Alternative Name-tillägget med alla DNS-namn, IP-adresser, e-postadresser och URI:er som certifikatet täcker. Från en CSR hämtas ämne, publik nyckel och eventuella Subject Alternative Names som begärs via PKCS#9-extensionRequest-attributet. Ett äkta SHA-256-fingeravtryck av de exakta DER-bytarna beräknas med webbläsarens inbyggda Web Crypto API och visas kolonseparerat, samma format som de flesta CA-instrumentpaneler och openssl-utdata använder.

En sak detta verktyg medvetet inte gör: kontrollerar en tillitskedja eller spärrstatus. Att bekräfta att ett certifikat är signerat av en betrodd rot, inte har löpt ut upp i kedjan eller inte har spärrats via OCSP eller en CRL kräver kontakt med en aktiv certifikatutfärdare eller OCSP-responder över nätverket – och den typen av utgående anrop har ingen plats i en offline, integritetsfokuserad avkodare. Det här verktyget berättar exakt vad som finns inuti certifikatet eller CSR:en du klistrade in; det påstår ingenting om huruvida du bör lita på det.