Den mmh3-Favicon-Hash einer Website mit fertigen Abfragen für Shodan, FOFA, ZoomEye und Censys berechnen.
Neu
X.509-Zertifikatsdecoder
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
X.509-Zertifikatsdecoder verwenden
Was es bewirkt
Fügen Sie ein PEM-Zertifikat oder eine Kette ein oder ziehen Sie eine .crt-, .cer-, .der- oder .p7b-Datei hierher, um jeden abgedeckten Namen, den Aussteller, die Gültigkeitsdauer und die Fingerprints zu sehen, mit crt.sh-Links für jeden Namen.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie X.509-Zertifikatsdecoder
- Zertifikat beschaffen. Laden Sie es über den crt.sh-Eintrag der Website herunter, oder führen Sie openssl s_client -showcerts in einer isolierten Umgebung aus. Sie müssen die verdächtige Seite nicht besuchen.
- Einfügen oder ablegen. Fügen Sie PEM-Text ein, wenn vorhanden eine ganze Kette, und drücken Sie Decode, oder ziehen Sie eine .pem-, .crt-, .cer-, .der- oder .p7b-Datei hierher, die sofort dekodiert wird.
- Badges und Markierungen lesen. Jedes Zertifikat zeigt seinen Status, die Validierungsstufe und Warnungen wie abgelaufen, selbstsigniert oder Punycode-Namen.
- Namen prüfen. Subject Alternative Names listet jede Domain, IP-Adresse und E-Mail-Adresse auf, die das Zertifikat abdeckt, jeweils mit einem crt.sh-Suchlink.
- Weiterverfolgen. Nutzen Sie die Links zum SHA-256- oder Public-Key-Fingerprint, um dasselbe Zertifikat oder denselben Schlüssel auf crt.sh zu finden. Send to übergibt die DNS-Namen an IOC Converter, Blocklist Converter, Abuse Report Generator oder URL Defanger.
Beispiel
Testzertifikat für example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Für diese Seite mit OpenSSL erzeugt: acht SAN-Einträge, darunter *.example.com, www.example.net und 192.0.2.10, eine DV-Richtlinie, zwei eingebettete SCTs und der Aussteller Example Test Root CA. Es war vom 1. Januar bis 1. April 2026 gültig und wird daher als abgelaufen angezeigt.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Status-Badge | Gültig mit verbleibenden Tagen, abgelaufen oder noch nicht gültig. Ein gültiges Zertifikat zeigt nur, dass jemand die Domain bei der Ausstellung kontrollierte, nicht, dass die Website seriös ist. |
| Validierungsstufe | DV, OV, IV oder EV, gelesen aus den Zertifikatsrichtlinien. DV bedeutet, dass nur die Kontrolle über die Domain geprüft wurde. |
| Selbstsigniert | Keine öffentliche Zertifizierungsstelle bürgt dafür, daher zeigen Browser eine Warnung. |
| Kostenloser DV-Aussteller | Let's Encrypt, ZeroSSL, Google Trust Services oder cPanel AutoSSL. Nur Kontext: Legitime Websites und Phishing-Seiten nutzen sie gleichermaßen. |
| Wildcards und Zahl der Namen | Wildcard-Namen werden vermerkt; 25 oder mehr Namen in einem Zertifikat sind typisch für CDN-, Hosting- oder Sammelzertifikate. |
| Punycode-Namen | xn--Namen werden markiert, damit Sie sie auf ähnlich aussehende Buchstaben prüfen können. |
| Schwache Signatur oder schwacher Schlüssel | SHA-1- oder MD5-Signaturen und RSA-Schlüssel unter 2048 Bit erzeugen Warnungen. |
| CT-Zeitstempel | Eingebettete SCTs zeigen, wann das Zertifikat öffentlich protokolliert wurde; der früheste liegt nahe am Ausstellungszeitpunkt. |
| Reihenfolge der Kette | In einer eingefügten Kette wird jedes Zertifikat anhand von Issuer-Namen und Schlüsselkennung dem nächsten zugeordnet. Signaturen werden nicht verifiziert. |
| Attribute von Subject und Issuer | Organisation, Land und andere Namensfelder für beide Seiten. Bei öffentlich vertrauenswürdigen Zertifikaten erscheint ein Organisationsname nur in OV- und EV-Zertifikaten; DV-Zertifikate nennen nur die Domain. |
Weitere Beispiele
Ein selbstsigniertes Testzertifikat
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Überschrift login.example.net (Namen werden entschärft angezeigt) mit einem Badge expired und drei Warnungen: abgelaufen (2026-09-30T00:00:00Z), selbstsigniert und der Punycode-Name xn--exmple-cua.example. Schlüssel EC P-256, Laufzeit 29 Tage, keine SCTs, 2 SAN-Namen mit crt.sh-Links.
Eine Domain statt eines Zertifikats eingefügt
example.comNur der Hinweis „No PEM block (-----BEGIN CERTIFICATE-----) found.“
Häufig gestellte Fragen
Was liest der Decoder aus einem Zertifikat?
Er parst die DER-Struktur streng und zeigt Version, Seriennummer, Signaturalgorithmus, Attribute von Subject und Issuer, Gültigkeit, Typ und Größe des öffentlichen Schlüssels sowie die Erweiterungen: SAN-Namen, Schlüsselverwendungen, Richtlinien (DV, OV, EV), CRL- und OCSP-Adressen und eingebettete CT-Zeitstempel. SHA-1-, SHA-256- und Public-Key-Fingerprints werden mit Web Crypto berechnet.
Prüft er, ob das Zertifikat vertrauenswürdig oder widerrufen ist?
Nein. Er verifiziert keine Signaturen, baut keinen Pfad zu einer vertrauenswürdigen Root auf und fragt weder OCSP noch CRLs ab; er vergleicht nur Issuer- und Subject-Namen sowie Schlüsselkennungen, um festzustellen, ob eine Kette in der richtigen Reihenfolge ist. Markierungen wie ein kostenloser DV-Aussteller oder ein Wildcard-Name sind Kontext für eine Untersuchung, kein Urteil.
Wird das Zertifikat irgendwohin gesendet?
Nein. Dekodierung und Fingerprint-Berechnung laufen in Ihrem Browser. Die crt.sh-Schaltflächen sind Links, die crt.sh in einem neuen Tab mit dem Fingerprint oder Namen in der Adresse öffnen, und zwar nur, wenn Sie darauf klicken.
Warum überhaupt das Zertifikat einer Phishing-Website ansehen?
Seine SAN-Liste kann weitere Domains derselben Kampagne nennen, und sein Fingerprint oder öffentlicher Schlüssel lässt sich auf crt.sh suchen, um verwandte Zertifikate zu finden. Der Beginn der Gültigkeit deutet außerdem darauf hin, wann die Website eingerichtet wurde.
Kann ich ein aus einem JSON-Log kopiertes Zertifikat einfügen?
Ja. PEM-Text mit literalen \n-Sequenzen wird zuerst entmaskiert, und auch reines Base64 oder Hex-DER ohne BEGIN-Zeile wird akzeptiert.
Was, wenn ich einen privaten Schlüssel oder einen CSR einfüge?
Keines von beiden wird dekodiert. Bei einem privaten Schlüssel erscheint eine Warnung, keine Schlüssel in Webseiten einzufügen, und eine Zertifikatsignierungsanforderung (CSR) wird mit einem Hinweis übersprungen.
Liest er .p7b-Bundles?
Ja. Ein PKCS#7-Bundle wird entpackt, ein Hinweis nennt die Zahl der extrahierten Zertifikate, und jedes wird der Reihe nach angezeigt. Pro Durchlauf werden bis zu 20 Zertifikate angezeigt.