Visor de Certificados X.509

El X.509 Certificate Viewer analiza certificados SSL/TLS codificados en PEM y muestra el sujeto, emisor, validez, detalles de clave, extensiones y fingerprints en un formato legible para humanos -- todo procesado localmente en tu navegador sin subir certificados a servidores externos. Pega un valor como -----BEGIN CERTIFICATE-----...-----END CERTIFICATE----- y ve instantáneamente cada campo decodificado.

Entendiendo los certificados X.509

Si trabajas con servidores web, load balancers o cualquier servicio que use HTTPS, lidias con certificados X.509 constantemente. Un certificado X.509 es esencialmente un documento firmado digitalmente que vincula una clave pública a una identidad -- usualmente un nombre de dominio o una organización. Cuando un navegador se conecta a tu servidor por TLS, recibe el certificado, verifica que una Certificate Authority de confianza lo firmó, y confirma que el dominio en la barra de direcciones coincide con los nombres listados en el certificado. Si algo no cuadra -- dominio incorrecto, fecha expirada, firmante no confiable -- la conexión falla y los usuarios ven una página de advertencia alarmante.

El problema es que los certificados están codificados en ASN.1 DER, un formato binario completamente ilegible sin herramientas. Incluso el wrapper PEM, que codifica en base64 los datos binarios y agrega líneas de encabezado/pie, no te da más que una pared de caracteres. No puedes saber mirando un bloque PEM si el certificado cubre tu dominio, cuándo expira, o si usa una clave lo suficientemente fuerte. Ahí es donde entra un visor de certificados: decodifica la estructura binaria y presenta cada campo en texto plano para que puedas verificar que todo sea correcto antes de desplegar a producción.

Este visor es especialmente útil para certificados que no puedes o no debes subir a servicios de inspección de terceros. Certificados de CA internos, certificados de autenticación de clientes y certificados que contienen detalles propietarios de la organización merecen inspección en una herramienta que procesa todo localmente. Pega el texto PEM, revisa la salida decodificada y confirma que los nombres del sujeto, fechas de validez, fortaleza de clave y extensiones coincidan con tus expectativas.

Cómo ver un certificado X.509

1. Abre la herramienta X.509 Certificate Viewer
2. Pega tu certificado codificado en PEM (comenzando con -----BEGIN CERTIFICATE-----)
3. El visor analiza y muestra instantáneamente todos los campos del certificado
4. Revisa el sujeto, emisor, período de validez, información de clave y extensiones decodificados
5. Copia fingerprints o campos específicos según sea necesario

Campos del certificado X.509 explicados

Sujeto y emisor

El Subject identifica a quién fue emitido el certificado. El Issuer identifica la Certificate Authority (CA) que lo firmó. Ambos usan el formato Distinguished Name (DN):

Información de clave

El visor muestra el algoritmo de clave pública y su fortaleza:

• RSA 2048-bit -- mínimo aceptable para certificados de producción
• RSA 4096-bit -- mayor seguridad, handshakes ligeramente más lentos
• ECDSA P-256 -- equivalente a RSA 3072-bit con mejor rendimiento
• ECDSA P-384 -- requerido por algunos frameworks de cumplimiento

Extensiones del certificado

Los certificados modernos dependen de extensiones para funcionalidad crítica:

• Subject Alternative Names (SANs) -- todos los hostnames e IPs que cubre el certificado
• Key Usage -- operaciones permitidas (digitalSignature, keyEncipherment)
• Extended Key Usage -- propósitos específicos (serverAuth, clientAuth)
• Basic Constraints -- si el certificado puede firmar otros certificados (CA:TRUE/FALSE)
• Authority Information Access -- URLs del OCSP responder y el emisor CA

Ejemplo de salida del certificado

Pegar un certificado típico de Let's Encrypt produce:

Subject:    CN=www.example.com
Issuer:     CN=R3, O=Let's Encrypt, C=US
Not Before: 2025-01-15 00:00:00 UTC
Not After:  2025-04-15 23:59:59 UTC
Serial:     04:A3:2B:9C:...
Algorithm:  RSA 2048-bit
SHA-256:    A1:B2:C3:D4:E5:F6:...
SHA-1:      1A:2B:3C:4D:5E:...

SANs:
  DNS: www.example.com
  DNS: example.com

Cuándo usar esta herramienta

• Verificación pre-despliegue -- confirmar que el contenido del certificado coincide con tu dominio y configuración prevista antes de instalarlo en un servidor
• Resolución de errores TLS -- inspeccionar certificados para encontrar CNs que no coinciden, SANs faltantes o períodos de validez expirados
• Auditorías de seguridad -- revisar fortaleza de clave, algoritmo de firma y configuración de extensiones en tu inventario de certificados
• Inspección de cadena de certificados -- examinar cada certificado en una cadena para identificar las CAs de entidad final, intermedia y raíz
• Manejo de certificados privados -- inspeccionar certificados internos o de CA privada sin subirlos a servicios de terceros
• Respuesta a incidentes -- decodificar rápidamente un certificado sospechoso de una captura de paquetes o archivo de log para evaluar su legitimidad

Cómo funcionan los certificados X.509

X.509 es el estándar ITU-T que define el formato de los certificados de clave pública. Toda conexión HTTPS depende de los certificados X.509 para establecer confianza. El certificado vincula una clave pública a una identidad (nombre de dominio, organización) y está firmado criptográficamente por una Certificate Authority de confianza.

Estructura del certificado

Un certificado X.509v3 contiene estos campos de nivel superior:

Certificate:
  Version:            v3 (0x2)
  Serial Number:      unique identifier assigned by the CA
  Signature Algorithm: e.g., sha256WithRSAEncryption
  Issuer:             DN of the signing CA
  Validity:
    Not Before:       start of validity window
    Not After:        end of validity window
  Subject:            DN of the certificate holder
  Subject Public Key Info:
    Algorithm:        RSA, ECDSA, or Ed25519
    Public Key:       the actual key data
  Extensions:         SANs, Key Usage, AIA, etc.
  Signature:          CA's digital signature over all fields

Formatos de codificación

Los certificados se codifican usando el formato ASN.1 DER (binario), luego típicamente se envuelven en PEM (base64 con líneas de encabezado/pie) para manejo humano. Los marcadores -----BEGIN CERTIFICATE----- y -----END CERTIFICATE----- delimitan los datos DER codificados en base64. Puedes obtener el certificado de un servidor en formato PEM usando OpenSSL:

openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null

Inspección de certificados en la práctica

El hábito más importante al trabajar con certificados es inspeccionarlos antes del despliegue. Toma treinta segundos pegar un certificado en un visor y confirmar que el sujeto coincide con tu dominio, los SANs cubren todos los hostnames que necesitas, las fechas de validez son razonables y el algoritmo de clave cumple con tus requerimientos de seguridad. Saltarse este paso es la forma en que los equipos terminan desplegando un certificado para el dominio equivocado o les falta una entrada SAN para un subdominio de API que solo se detecta cuando las alertas de monitoreo se activan a las 2 AM.

Al resolver errores TLS, comienza obteniendo el certificado que el servidor está realmente presentando. Ejecuta openssl s_client -connect yourserver.com:443 -servername yourserver.com y pega la salida PEM en este visor. Compara los campos decodificados contra lo que esperas: ¿es correcto el CN o SAN? ¿está expirado el certificado? ¿es el emisor la CA que pretendías? Muchos problemas de TLS que parecen misteriosos desde un mensaje de error se vuelven obvios cuando ves los campos reales del certificado lado a lado con tus expectativas.

Para organizaciones que administran docenas o cientos de certificados, construir una rutina de inspección regular es valioso. Exporta los certificados de tus servidores, pégalos en el visor, y verifica expiraciones próximas, tamaños de clave débiles (RSA 1024 debería haberse retirado hace años) o algoritmos de firma obsoletos. Este tipo de auditoría proactiva detecta problemas antes de que se conviertan en caídas.

Preguntas frecuentes

¿Cuál es la diferencia entre CN y SAN en un certificado? El Common Name (CN) es un campo legacy en el Subject que históricamente contenía el nombre de dominio. Los navegadores modernos ahora usan exclusivamente los Subject Alternative Names (SANs) para la validación de hostnames. Un certificado con CN=example.com pero sin entrada SAN coincidente fallará la validación en Chrome y Firefox. Siempre asegúrate de que tus dominios aparezcan en la extensión SAN.

¿Cómo obtengo el texto PEM de un certificado que quiero inspeccionar? Usa OpenSSL en la línea de comandos: openssl s_client -connect example.com:443 -showcerts produce certificados PEM. También puedes exportar desde las herramientas de desarrollador del navegador (pestaña Security), o encontrar archivos PEM en las configuraciones del servidor -- típicamente tienen extensiones .pem, .crt o .cer.

¿Puede este visor manejar cadenas de certificados? Sí. Si pegas múltiples certificados PEM (una cadena completa), el visor analiza cada uno individualmente. Para dividir cadenas en certificados separados, usa el PEM Bundle Splitter.

¿Qué significa "CA:TRUE" en la extensión Basic Constraints? Un certificado con CA:TRUE en sus Basic Constraints está autorizado para firmar otros certificados -- es un certificado de Certificate Authority, no un certificado leaf. Los certificados leaf usados por servidores web siempre deben mostrar CA:FALSE. Si ves CA:TRUE en un certificado que esperabas que fuera un certificado de servidor, algo está mal con tu configuración.

¿Por qué mi certificado muestra un emisor diferente a la CA que compré? Las Certificate Authorities frecuentemente usan certificados intermedios para firmar certificados leaf en lugar de firmar directamente con su raíz. El campo Issuer muestra el nombre de la CA intermedia, no la raíz. Esto es normal y esperado. Puedes rastrear la cadena completa examinando los campos Subject e Issuer de cada certificado desde el leaf hasta la raíz.

¿Cómo puedo saber si un certificado usa una clave lo suficientemente fuerte? Revisa la sección de información de clave. Para RSA, 2048 bits es el mínimo actual; 4096 bits proporciona margen extra. Para ECDSA, P-256 (256 bits) proporciona seguridad equivalente a RSA 3072-bit. Cualquier clave RSA por debajo de 2048 bits debe reemplazarse inmediatamente, ya que las CAs no emitirán certificados para claves más pequeñas y los navegadores pueden rechazarlos.

Herramientas relacionadas

• Certificate Fingerprint Generator - Calcula hashes SHA-256 y SHA-1 para certificate pinning
• Certificate Expiry Checker - Verifica fechas de validez y días restantes hasta la expiración
• SAN Extractor - Extrae todos los Subject Alternative Names de un certificado
• CSR Viewer - Analiza e inspecciona Certificate Signing Requests antes del envío
• PEM Bundle Splitter - Separa una cadena de certificados en archivos PEM individuales
• Convert DER to PEM - Convierte certificados binarios DER a formato PEM para inspección