ตัวถอดรหัสใบรับรอง

ขั้นตอน 1 / 2

วางใบรับรอง X.509 ที่เข้ารหัส PEM (บล็อก -----BEGIN CERTIFICATE----- ถึง -----END CERTIFICATE-----) แล้วตัวถอดรหัสจะอ่านช่องหลัก: หัวเรื่อง, ผู้ออก, หมายเลขซีเรียล, อัลกอริธึมลายเซ็น, วันที่ที่มีผล และชื่อสำรองของหัวเรื่องเมื่อใบรับรองมี ข้อความใบรับรองจะถูกส่งไปยังเซิร์ฟเวอร์เพื่อถอดรหัส และจะไม่ถูกจัดเก็บหรือบันทึก

ตัวถอดรหัสใบรับรองทำงานอย่างไร

1

วางใบรับรอง PEM

บล็อกที่มีเครื่องหมาย BEGIN/END CERTIFICATE ตัวถอดรหัสคาดหวังรูปแบบ PEM (ข้อความ) ของใบรับรอง
2

อ่านช่องข้อมูล

หัวเรื่อง, ผู้ออก, หมายเลขซีเรียล, อัลกอริธึมลายเซ็น และวันที่ที่มีผลจะถูกดึงออกมาจากใบรับรอง
3

ตรวจสอบชื่อสำรองของหัวเรื่อง

บรรทัด SAN จะแสดงรายชื่อโฮสต์ที่ใบรับรองครอบคลุม เมื่อมีส่วนขยายนี้อยู่
4

อ่านวันที่ที่มีผล

เปรียบเทียบวันที่เริ่มต้นและสิ้นสุดการมีผลกับวันนี้เพื่อตรวจจับใบรับรองที่หมดอายุ

ช่องที่ตัวถอดรหัสแสดง

ช่อง	ตัวอย่าง
หัวเรื่อง	CN=example.com
ผู้ออก	CN=DigiCert Global G2, O=DigiCert Inc, C=US
หมายเลขซีเรียล	0x04:5a:1c:8b:…
อัลกอริทึมลายเซ็น	sha256WithRSAEncryption
มีผลตั้งแต่	2025-11-01T00:00:00Z
มีผลถึง	2026-11-30T23:59:59Z
ชื่อสำรองของหัวเรื่อง (SAN)	example.com, www.example.com (ถ้ามี)

การตรวจสอบทั่วไปเมื่อแก้ไขข้อบกพร่อง TLS

ใบรับรองหมดอายุหรือไม่ ตรวจสอบวันที่สิ้นสุดการมีผลเทียบกับวันนี้
SAN รวมชื่อโฮสต์ที่คุณใช้อยู่หรือไม่ เบราว์เซอร์สมัยใหม่ปฏิเสธหาก CN เพียงอย่างเดียวตรงกัน แต่ SAN ไม่แสดงรายการชื่อโฮสต์
ห่วงโซ่เสร็จสมบูรณ์หรือไม่ เปรียบเทียบผู้ออกของใบรับรองนี้กับหัวเรื่องของใบรับรองตัวกลาง AKI ของใบรับรองนี้ควรตรงกับ SKI ของใบรับรองผู้ออก
อัลกอริธึมลายเซ็นแข็งแกร่งเพียงพอหรือไม่ เบราว์เซอร์สมัยใหม่ปฏิเสธใบรับรองที่ลงนาม SHA-1 และ MD5
ขนาดคีย์: RSA 2048 บิตคือค่าขั้นต่ำปัจจุบันสำหรับ CA สาธารณะ 3072-4096 เหมาะสำหรับใบรับรองอายุยาว ECC P-256 มีขนาดกะทัดรัดและปลอดภัย

PEM กับ DER

PEM: ข้อความ ASCII ที่เข้ารหัส base64 ระหว่างเครื่องหมาย -----BEGIN/END----- ง่ายต่อการคัดลอกวาง และเป็นรูปแบบที่ตัวถอดรหัสคาดหวัง
DER: รูปแบบไบนารีของข้อมูลเดียวกัน ไฟล์ .crt หรือ .cer บางไฟล์เป็นรูปแบบ DER หากมี ให้แปลงเป็น PEM ก่อน เช่น ใช้คำสั่ง openssl x509 -inform DER -in cert.crt -outform PEM

ความเป็นส่วนตัว

ข้อความใบรับรองถูกส่งไปยังเซิร์ฟเวอร์ของเราเพื่อให้ถอดรหัสช่องข้อมูลด้วย OpenSSL โดยจะไม่ถูกจัดเก็บ บันทึก หรือแบ่งปัน

คำถามที่พบบ่อย

แยกวิเคราะห์และแสดงฟิลด์ แต่ไม่ได้ตรวจสอบลายเซ็นกับผู้ออก สำหรับการตรวจสอบแบบเต็ม ให้ใช้ openssl verify หรือโปรแกรมดูใบรับรองของเบราว์เซอร์

ไม่, นี่เป็นใบรับรองเท่านั้น วัสดุคีย์สาธารณะถูกดึงมาจากใบรับรอง ไม่ควรวางคีย์ส่วนตัวลงในเครื่องมือเว็บ

ตัวถอดรหัสนี้ใช้สำหรับใบรับรองเท่านั้น ไม่รองรับ CSR (คำขอลงนามใบรับรอง) และคีย์ส่วนตัว ดังนั้นอย่าวางบล็อกที่ขึ้นต้นด้วย -----BEGIN CERTIFICATE REQUEST----- สำหรับเชน ให้ถอดรหัสใบรับรองแต่ละรายการแยกกัน

openssl s_client -servername example.com -connect example.com:443 < /dev/null | openssl x509 -outform PEM หรือส่งออกจากโปรแกรมดูใบรับรองของเบราว์เซอร์ของคุณ

ตัวถอดรหัสใบรับรอง