Visualizador de Certificado X.509

O Visualizador de Certificado X.509 analisa certificados SSL/TLS codificados em PEM e exibe assunto emissor validade detalhes de chave extensões e fingerprints em um formato legível para humanos -- tudo processado localmente em seu navegador sem enviar certificados para servidores externos. Cole um valor como -----BEGIN CERTIFICATE-----...-----END CERTIFICATE----- e veja instantaneamente cada campo decodificado.

Compreendendo Certificados X.509

Se você trabalha com servidores web balanceadores de carga ou qualquer serviço que fale HTTPS você lida com certificados X.509 constantemente. Um certificado X.509 é essencialmente um documento assinado digitalmente que liga uma chave pública a uma identidade -- geralmente um nome de domínio ou uma organização. Quando um navegador se conecta ao seu servidor sobre TLS recebe o certificado verifica que uma Autoridade de Certificado confiada o assinou e valida que o domínio na barra de endereço corresponde aos nomes listados no certificado. Se algo está errado -- domínio errado data de expiração certificado não confiável -- a conexão falha e usuários veem uma página de aviso assustadora.

O problema é que certificados são codificados em formato binário ASN.1 DER que é completamente ilegível sem ferramentas. Até mesmo o envoltório PEM que codifica base64 os dados binários e adiciona linhas de cabeçalho/rodapé oferece apenas uma parede de caracteres. Você não consegue dizer olhando para um blob PEM se o certificado cobre seu domínio quando ele expira ou se usa uma chave forte o suficiente. É aí que entra um visualizador de certificado: ele decodifica a estrutura binária e apresenta cada campo em texto simples para você verificar se as coisas estão corretas antes de fazer deployment para produção.

Este visualizador é especialmente útil para certificados que você não pode ou não deveria fazer upload para serviços de inspeção de terceiros. Certificados de CA internos certificados de autenticação de cliente e certificados contendo detalhes de organização proprietários todos merecem inspeção em uma ferramenta que processa tudo localmente. Cole o texto PEM revise a saída decodificada e confirme que nomes de assunto datas de validade força de chave e extensões combinam suas expectativas.

Como Ver um Certificado X.509

1. Abra a ferramenta Visualizador de Certificado X.509
2. Cole seu certificado codificado em PEM (começando com -----BEGIN CERTIFICATE-----)
3. O visualizador instantaneamente analisa e exibe todos os campos do certificado
4. Revise o assunto decodificado emissor período de validade informação de chave e extensões
5. Copie fingerprints ou campos específicos conforme necessário

Campos de Certificado X.509 Explicados

Assunto e Emissor

O Assunto identifica quem o certificado foi emitido para. O Emissor identifica a Autoridade de Certificado (CA) que o assinou. Ambos usam formato Distinguished Name (DN):

Informação de Chave

O visualizador exibe o algoritmo e força da chave pública:

• RSA 2048-bit -- mínimo aceitável para certificados de produção
• RSA 4096-bit -- segurança mais alta handshakes ligeiramente mais lentos
• ECDSA P-256 -- equivalente a RSA 3072-bit com melhor desempenho
• ECDSA P-384 -- requerido por alguns frameworks de conformidade

Extensões de Certificado

Certificados modernos confiam em extensões para funcionalidade crítica:

• Subject Alternative Names (SANs) -- todos hostnames e IPs que o certificado cobre
• Key Usage -- operações permitidas (digitalSignature keyEncipherment)
• Extended Key Usage -- propósitos específicos (serverAuth clientAuth)
• Basic Constraints -- se o certificado pode assinar outros certificados (CA:TRUE/FALSE)
• Authority Information Access -- URLs de responder OCSP e emissor de CA

Exemplo de Saída de Certificado

Colando um certificado típico Let's Encrypt produz:

Assunto:    CN=www.example.com
Emissor:    CN=R3, O=Let's Encrypt, C=US
Não Antes: 2025-01-15 00:00:00 UTC
Não Depois: 2025-04-15 23:59:59 UTC
Serial:     04:A3:2B:9C:...
Algoritmo:  RSA 2048-bit
SHA-256:    A1:B2:C3:D4:E5:F6:...
SHA-1:      1A:2B:3C:4D:5E:...

SANs:
  DNS: www.example.com
  DNS: example.com

Quando Usar Esta Ferramenta

• Verificação de pré-deployment -- confirme o conteúdo do certificado corresponde seu domínio e configuração pretendida antes de instalar em um servidor
• Troubleshooting de erros TLS -- inspecione certificados para encontrar CNs desiguais SANs ausentes ou períodos de validade expirados
• Auditorias de segurança -- revise força de chave algoritmo de assinatura e configuração de extensão em seu inventário de certificado
• Inspeção de cadeia de certificado -- examine cada certificado em uma cadeia para identificar CAs de end-entity intermediárias e raiz
• Tratamento de certificado privado -- inspecione certificados de CA privados ou internos sem enviá-los para serviços de terceiros
• Resposta a incidente -- rapidamente decodifique um certificado suspeito de uma captura de pacote ou arquivo de log para avaliar sua legitimidade

Como Certificados X.509 Funcionam

X.509 é o padrão ITU-T definindo o formato de certificados de chave pública. Toda conexão HTTPS depende de certificados X.509 para estabelecer confiança. O certificado liga uma chave pública a uma identidade (nome de domínio organização) e é criptograficamente assinado por uma Autoridade de Certificado confiada.

Estrutura de Certificado

Um certificado X.509v3 contém esses campos de nível superior:

Certificado:
  Versão:             v3 (0x2)
  Número de Série:    identificador único atribuído pela CA
  Algoritmo de Assinatura: ex., sha256WithRSAEncryption
  Emissor:            DN da CA assinante
  Validade:
    Não Antes:       início da janela de validade
    Não Depois:      fim da janela de validade
  Assunto:           DN do detentor do certificado
  Informação de Chave Pública do Assunto:
    Algoritmo:       RSA ECDSA ou Ed25519
    Chave Pública:   dados reais da chave
  Extensões:        SANs Key Usage AIA etc.
  Assinatura:        assinatura digital da CA sobre todos os campos

Formatos de Codificação

Certificados são codificados usando formato binário ASN.1 DER então tipicamente envolvidos em PEM (base64 com linhas de cabeçalho/rodapé) para tratamento humano. Os marcadores -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----- delimitam os dados base64-codificados de DER. Você pode recuperar certificado de um servidor em formato PEM usando OpenSSL:

openssl s_client -connect example.com:443 -showcerts </dev/null 2>/dev/null

Inspeção de Certificado na Prática

O hábito mais importante ao trabalhar com certificados é inspecionar antes de deployment. Leva trinta segundos para colar um certificado em um visualizador e confirmar que o assunto corresponde seu domínio os SANs cobrem todos hostnames que você precisa datas de validade são razoáveis e o algoritmo de chave atende seus requisitos de segurança. Pular este passo é como times acabam fazendo deploy de um certificado para o domínio errado ou perdendo uma entrada de SAN para um subdomínio de API que apenas é notado quando alertas de monitoramento acionam às 2 AM.

Ao troubleshootar erros TLS comece obtendo o certificado que o servidor realmente está apresentando. Rode openssl s_client -connect yourserver.com:443 -servername yourserver.com e cole a saída PEM neste visualizador. Compare os campos decodificados contra o que você espera: o CN ou SAN está correto? O certificado expirou? O emissor é a CA que você pretendeu? Muitos problemas de TLS que parecem misteriosos de uma mensagem de erro se tornam óbvios quando você vê os campos de certificado reais lado a lado com suas expectativas.

Para organizações gerenciando dúzias ou centenas de certificados construir uma rotina regular de inspeção é valioso. Exporte certificados de seus servidores cole-os no visualizador e verifique próximas expirações tamanhos de chave fracos (RSA 1024 deveria ter sido aposentado anos atrás) ou algoritmos de assinatura obsoletos. Este tipo de auditoria proativa pega problemas antes deles se tornarem interrupções.

Perguntas Frequentes

Qual é a diferença entre CN e SAN em um certificado?

O Common Name (CN) é um campo herdado no Assunto que historicamente continha o nome de domínio. Navegadores modernos agora usam Subject Alternative Names (SANs) exclusivamente para validação de hostname. Um certificado com CN=example.com mas sem entrada de SAN correspondente falhará validação em Chrome e Firefox. Sempre garanta que seus domínios apareçam na extensão de SAN.

Como obtenho o texto PEM para um certificado que quero inspecionar?

Use OpenSSL na linha de comando: openssl s_client -connect example.com:443 -showcerts produz certificados PEM. Você também pode exportar de ferramentas de desenvolvedor de navegador (aba Segurança) ou encontrar arquivos PEM em configurações de servidor -- eles tipicamente têm extensões .pem, .crt ou .cer.

Este visualizador consegue lidar com cadeias de certificado?

Sim. Se você colar múltiplos certificados PEM (uma cadeia completa) o visualizador analisa cada um individualmente. Para dividir cadeias em certificados separados use o Divisor de Pacote PEM.

O que "CA:TRUE" significa na extensão de Basic Constraints?

Um certificado com CA:TRUE em suas Basic Constraints está autorizado a assinar outros certificados -- é um certificado de Autoridade de Certificado não um certificado de folha. Certificados de folha usados por servidores web sempre devem mostrar CA:FALSE. Se você vê CA:TRUE em um certificado que você esperava ser um certificado de servidor algo está errado com sua configuração.

Por que meu certificado mostra um emissor diferente da CA que comprei de?

Autoridades de Certificado frequentemente usam certificados intermediários para assinar certificados de folha em vez de assinar diretamente com sua raiz. O campo Emissor mostra o nome da CA intermediária não a raiz. Isto é normal e esperado. Você pode traçar a cadeia completa examinando os campos de Assunto e Emissor de cada certificado da folha para raiz.

Como posso dizer se um certificado usa uma chave forte o suficiente?

Verifique a seção de Informação de Chave. Para RSA 2048 bits é o mínimo atual; 4096 bits fornece margem extra. Para ECDSA P-256 (256 bits) fornece segurança equivalente a RSA 3072-bit. Qualquer chave RSA abaixo de 2048 bits deveria ser substituída imediatamente pois CAs não emitirão certificados para chaves menores e navegadores podem rejeitá-los.

Ferramentas Relacionadas

• Gerador de Fingerprint de Certificado - Calcular hashes SHA-256 e SHA-1 para pinning de certificado
• Verificador de Expiração de Certificado - Verificar datas de validade e dias restantes até expiração
• Extrator de SAN - Extrair todos os Subject Alternative Names de um certificado
• Visualizador de CSR - Analisar e inspecionar Certificate Signing Requests antes de submissão
• Divisor de Pacote PEM - Separar uma cadeia de certificado em arquivos PEM individuais
• Converter DER para PEM - Converter certificados DER binários para formato PEM para inspeção