Lector de certificados

Funciones

• ⚠️ La nota de «lee, no valida» va al principio del resultado, no escondida en las preguntas frecuentes
• Versión, número de serie (como texto, pues puede superar 2⁵³) y algoritmo de firma
• Todos los atributos del sujeto y del emisor (CN, O, OU, C, ST, L, emailAddress y más)
• Validez y días restantes; ⚠️ caducado o aún no válido se indica sin rodeos
• Un banner de veredicto de tres niveles al principio del resultado: válido (con los días restantes), caducado o aún no válido, para que la respuesta sea lo primero que ves
• Algoritmo y tamaño de la clave pública (RSA calculado desde el módulo, EC desde la curva), más el nombre de la curva
• El SAN se lista entrada por entrada, distinguiendo DNS, IP, email y URI; ⚠️ una IP se muestra como cuatro octetos en vez de leerse como texto
• Uso de la clave y uso extendido, explicados bit a bit
• Restricciones básicas: si es un certificado de CA y cualquier pathLenConstraint
• Huellas SHA-256 y SHA-1, en hexadecimal con dos puntos
• Se admiten entradas en PEM, base64 limpio y hexadecimal
• ⚠️ Los archivos de certificado binarios como `.cer` y `.der` se pueden soltar directamente: el armazón los convierte a hexadecimal antes de analizarlos, cosa que importa porque son binarios codificados en DER y no se pueden pegar
• Todo se ejecuta en tu navegador; el certificado no se sube

Cómo se usa

1. Pega el certificado entero (el bloque `-----BEGIN CERTIFICATE-----`) o suelta un archivo `.cer` / `.der`
2. El resultado va agrupado: resumen → sujeto → emisor → validez → clave → SAN → uso → firma → huellas
3. Lee primero la nota de «lee, no valida» de arriba y luego revisa los campos

Preguntas frecuentes

¿Esto verifica que el certificado sea de confianza?

No, y no puede. Validar la cadena significa obtener el certificado del emisor, subir hasta una raíz de confianza, comprobar en cada paso que las restricciones básicas y el uso de la clave permiten la firma, comprobar la revocación (CRL u OCSP, ambas necesitan red) y hacer coincidir el nombre de host con el SAN. Los navegadores solo lo hacen durante el handshake TLS, con su propio almacén de raíces: una página web no tiene ni ese almacén ni una lista de revocación. Así que esto te da lo que dice el certificado; decidir si confiar en él requiere otros medios. Con el generador de certificados autofirmados del sitio pasa lo mismo: nada confía en lo que produce.

¿Que ponga «autofirmado: No» significa que algo va mal?

No. Casi todos los certificados los firma otro, una CA, así que «No» es la respuesta totalmente normal. La comprobación solo compara el sujeto con el emisor: si coinciden, se firmó a sí mismo (un certificado autofirmado, habitual en desarrollo local y pruebas internas); si no, hay una capa por encima. No tiene relación con la confianza: un certificado autofirmado puede ser uno que instalaste tú en tu almacén, y uno firmado por una CA puede estar caducado o emitido para otro nombre de host.

¿Por qué me deja leer un certificado caducado?

Porque «lo que dice este certificado» y «si aún sirve» son preguntas distintas, y la primera tiene usos más allá de la segunda: averiguar quién lo emitió, qué nombres cubría, comprobar una huella o confirmar que un certificado viejo es el de entonces. El análisis no deja de tener sentido al caducar. Aun así, el resultado indica cuántos días hace que caducó: es lo más importante del certificado y nadie debería tener que restar dos fechas para hallarlo.

¿Para qué sirven las huellas?

Una huella es un hash del certificado entero y sirve para comprobar si es el mismo certificado: si el que está en un servidor coincide con la copia que tienes en local, o si uno descargado se ha alterado. La que se usa hoy es SHA-256 (`openssl x509 -fingerprint -sha256`); SHA-1 se muestra porque mucha documentación y paneles antiguos aún la imprimen, pero SHA-1 ya no debería usarse para ninguna decisión de seguridad.

¿Por qué mi certificado no tiene SAN?

Será uno muy antiguo. Chrome ignora el CN por completo desde la versión 58 y compara solo con subjectAltName, así que todo certificado emitido hoy lleva SAN (aunque sea para un solo nombre de host, con el CN repetido dentro). Un certificado solo con CN no puede conectar en un navegador moderno, y el error solo dice «el nombre no coincide», lo que apunta al problema equivocado. Si lo emitiste tú, emite uno nuevo con SAN.