احسب بصمة mmh3 لأيقونة الموقع المفضلة مع استعلامات جاهزة لـ Shodan وFOFA وZoomEye وCensys.
جديدة
مفكك شهادات X.509
تعمل محليًاجديدة
الأداة نفسها باللغة الإنجليزية؛ وهذه الصفحة تشرحها بلغتك.
استخدم مفكك شهادات X.509
ما الذي يفعله
الصق شهادة أو سلسلة شهادات بصيغة PEM، أو اسحب ملف .crt أو .cer أو .der أو .p7b، لترى كل اسم تغطيه الشهادة، ومن أصدرها، ومدة صلاحيتها، وبصماتها، مع روابط crt.sh لكل اسم.
يعمل التطبيق بالكامل داخل متصفحك: ولا يتم تحميل أي شيء تدخله.
كيفية استخدام مفكك شهادات X.509
- احصل على الشهادة. نزّلها من إدخال الموقع في crt.sh، أو شغّل openssl s_client -showcerts في بيئة معزولة. ولا تحتاج إلى زيارة الصفحة المشبوهة.
- الصقها أو اسحبها. الصق نص PEM، والسلسلة كاملة إن كانت لديك، واضغط Decode (فك الترميز)، أو اسحب ملف .pem أو .crt أو .cer أو .der أو .p7b، فيُفك ترميزه فورًا.
- اقرأ الشارات والعلامات. تعرض كل شهادة حالتها ومستوى التحقق والتحذيرات مثل منتهية الصلاحية أو موقّعة ذاتيًا أو أسماء punycode.
- افحص الأسماء. يسرد Subject Alternative Names كل نطاق وعنوان IP وعنوان بريد إلكتروني تغطيه الشهادة، مع رابط بحث في crt.sh لكل منها.
- انتقل إلى خيوط أخرى. استخدم روابط بصمة SHA-256 أو بصمة المفتاح العام للعثور على الشهادة نفسها أو المفتاح نفسه في crt.sh. ويمرر Send to أسماء DNS إلى IOC Converter أو Blocklist Converter أو Abuse Report Generator أو URL Defanger.
مثال
شهادة اختبار للنطاق example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…أُنشئت باستخدام OpenSSL لهذه الصفحة: ثمانية إدخالات SAN منها *.example.com وwww.example.net و192.0.2.10، وسياسة DV، وطابعان زمنيان SCT مضمّنان، والجهة المُصدِرة Example Test Root CA. كانت صالحة من 1 يناير إلى 1 أبريل 2026، لذا تُعرض على أنها منتهية.
ما الذي يتحقق منه
| إشارة | ماذا يعني ذلك |
|---|---|
| شارة الحالة | صالحة مع الأيام المتبقية، أو منتهية، أو غير صالحة بعد. والشهادة الصالحة تُظهر فقط أن أحدهم كان يتحكم في النطاق عند إصدارها، لا أن الموقع نزيه. |
| مستوى التحقق | DV أو OV أو IV أو EV، مقروءًا من سياسات الشهادة. ويعني DV أنه لم يُتحقق إلا من التحكم في النطاق. |
| موقّعة ذاتيًا | لا تضمنها أي سلطة شهادات عامة، لذا تعرض المتصفحات تحذيرًا. |
| جهة إصدار DV مجانية | Let's Encrypt أو ZeroSSL أو Google Trust Services أو cPanel AutoSSL. للسياق فقط: فالمواقع المشروعة ومواقع التصيد تستخدمها كلاهما. |
| أسماء البدل وعدد الأسماء | يُشار إلى أسماء البدل (wildcard)؛ ووجود 25 اسمًا أو أكثر في شهادة واحدة نمط معتاد لشهادات CDN أو الاستضافة أو الشهادات الجماعية. |
| أسماء punycode | يُنبَّه إلى أسماء xn-- كي تفحصها بحثًا عن أحرف متشابهة. |
| توقيع أو مفتاح ضعيف | تواقيع SHA-1 أو MD5 ومفاتيح RSA الأقل من 2048 بت تحذيرات. |
| الطوابع الزمنية لـ CT | تُظهر SCT المضمّنة متى سُجّلت الشهادة علنًا؛ وأقدمها قريب من وقت الإصدار. |
| ترتيب السلسلة | في السلسلة الملصوقة تُطابَق كل شهادة مع التالية حسب اسم الجهة المُصدِرة ومعرّف المفتاح. ولا يُتحقق من التواقيع. |
| سمات الموضوع والجهة المُصدِرة | المنظمة والدولة وحقول الأسماء الأخرى لكلا الطرفين. وفي الشهادات الموثوقة علنًا لا يظهر اسم المنظمة إلا في شهادات OV وEV؛ أما شهادات DV فلا تسمّي إلا النطاق. |
المزيد من الأمثلة
شهادة اختبار موقّعة ذاتيًا
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----العنوان login.example.net (تُعرض الأسماء بصيغة محيَّدة) مع شارة منتهية وثلاثة تحذيرات: منتهية (2026-09-30T00:00:00Z)، وموقّعة ذاتيًا، واسم punycode xn--exmple-cua.example. المفتاح EC P-256، ومدة الصلاحية 29 يومًا، ولا يوجد SCT، واسمان في SAN مع روابط crt.sh.
نطاق ملصوق بدلًا من شهادة
example.comالملاحظة فقط: «No PEM block (-----BEGIN CERTIFICATE-----) found.»
الأسئلة الشائعة
ماذا يقرأ المفكك من الشهادة؟
يحلّل بنية DER بصرامة ويعرض الإصدار، والرقم التسلسلي، وخوارزمية التوقيع، وسمات الموضوع (subject) والجهة المُصدِرة (issuer)، والصلاحية، ونوع المفتاح العام وحجمه، والامتدادات: أسماء SAN، واستخدامات المفتاح، والسياسات (DV وOV وEV)، وعناوين CRL وOCSP، والطوابع الزمنية المضمّنة لـ CT. وتُحسب بصمات SHA-1 وSHA-256 وبصمة المفتاح العام باستخدام Web Crypto.
هل يتحقق من أن الشهادة موثوقة أو ملغاة؟
لا. فهو لا يتحقق من التواقيع، ولا يبني مسارًا إلى جذر موثوق، ولا يستعلم من OCSP وCRL؛ بل يقارن فقط أسماء الجهة المُصدِرة والموضوع ومعرّفات المفاتيح لمعرفة ما إذا كانت السلسلة مرتبة. والعلامات مثل جهة إصدار DV مجانية أو اسم بدل (wildcard) سياق للتحقيق، لا حكم.
هل تُرسل الشهادة إلى أي مكان؟
لا. يجري فك الترميز وحساب البصمات داخل متصفحك. وأزرار crt.sh روابط تفتح crt.sh في علامة تبويب جديدة مع البصمة أو الاسم في العنوان، وفقط عندما تنقر عليها.
لماذا ننظر إلى شهادة موقع تصيد أصلًا؟
قد تسمّي قائمة SAN فيها نطاقات أخرى للحملة نفسها، ويمكن البحث عن بصمتها أو مفتاحها العام في crt.sh للعثور على شهادات مرتبطة. كما تلمّح بداية الصلاحية إلى وقت إنشاء الموقع.
هل يمكنني لصق شهادة منسوخة من سجل JSON؟
نعم. يُزال الهروب أولًا من نص PEM الذي يحتوي على تسلسلات \n حرفية، كما يُقبل DER بصيغة Base64 مجردة أو ست عشرية بلا سطر BEGIN.
ماذا لو لصقت مفتاحًا خاصًا أو CSR؟
لا يُفك ترميز أي منهما. يحصل المفتاح الخاص على تحذير بعدم لصق المفاتيح في صفحات الويب، ويُتجاوز طلب توقيع الشهادة (CSR) مع ملاحظة.
هل يقرأ حزم .p7b؟
نعم. تُفك حزمة PKCS#7، وتذكر ملاحظة عدد الشهادات المستخرجة، وتُعرض كل شهادة بالترتيب. ويُعرض حتى 20 شهادة في كل تشغيل.