Calcula el hash mmh3 del favicon de un sitio con consultas listas para Shodan, FOFA, ZoomEye y Censys.
Nueva
Decodificador de certificados X.509
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Decodificador de certificados X.509
Para qué sirve
Pega un certificado o una cadena PEM, o suelta un archivo .crt, .cer, .der o .p7b, para ver todos los nombres que cubre, quién lo emitió, cuánto tiempo es válido y sus huellas, con enlaces a crt.sh para cada nombre.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Decodificador de certificados X.509
- Consigue el certificado. Descárgalo desde la entrada del sitio en crt.sh, o ejecuta openssl s_client -showcerts en un entorno aislado. No necesitas visitar la página sospechosa.
- Pégalo o suéltalo. Pega el texto PEM, la cadena completa si la tienes, y pulsa Decode (Decodificar), o suelta un archivo .pem, .crt, .cer, .der o .p7b, que se decodifica al instante.
- Lee las etiquetas y los indicadores. Cada certificado muestra su estado, su nivel de validación y avisos como caducado, autofirmado o nombres punycode.
- Revisa los nombres. Subject Alternative Names lista todos los dominios, direcciones IP y direcciones de correo que cubre el certificado, con un enlace de búsqueda en crt.sh para cada uno.
- Pivota. Usa los enlaces de huella SHA-256 o de clave pública para encontrar el mismo certificado o la misma clave en crt.sh. Send to (Enviar a) pasa los nombres DNS a IOC Converter, Blocklist Converter, Abuse Report Generator o URL Defanger.
Ejemplo
Certificado de prueba para example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Generado con OpenSSL para esta página: ocho entradas SAN, entre ellas *.example.com, www.example.net y 192.0.2.10, una política DV, dos SCT incrustados y el emisor Example Test Root CA. Era válido del 1 de enero al 1 de abril de 2026, así que se muestra como caducado.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Etiqueta de estado | Válido con los días restantes, caducado o todavía no válido. Un certificado válido solo demuestra que alguien controlaba el dominio cuando se emitió, no que el sitio sea honrado. |
| Nivel de validación | DV, OV, IV o EV, leído de las políticas del certificado. DV significa que solo se comprobó el control del dominio. |
| Autofirmado | Ninguna autoridad de certificación pública lo respalda, así que los navegadores muestran un aviso. |
| Emisor DV gratuito | Let's Encrypt, ZeroSSL, Google Trust Services o cPanel AutoSSL. Solo es contexto: tanto los sitios legítimos como los de phishing los usan. |
| Comodines y número de nombres | Se anotan los nombres comodín; 25 o más nombres en un mismo certificado es típico de certificados de CDN, de hosting o masivos. |
| Nombres punycode | Los nombres xn-- se señalan para que compruebes si tienen letras que imitan a otras. |
| Firma o clave débiles | Las firmas SHA-1 o MD5 y las claves RSA de menos de 2048 bits generan avisos. |
| Marcas de tiempo CT | Los SCT incrustados muestran cuándo se registró públicamente el certificado; el más antiguo está cerca del momento de emisión. |
| Orden de la cadena | En una cadena pegada, cada certificado se empareja con el siguiente por el nombre del emisor y el identificador de clave. Las firmas no se verifican. |
| Atributos del sujeto y del emisor | Organización, país y otros campos de nombre de ambas partes. En los certificados de confianza pública, el nombre de una organización solo aparece en los certificados OV y EV; los certificados DV solo nombran el dominio. |
Más ejemplos
Un certificado de prueba autofirmado
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Encabezado login.example.net (los nombres se muestran neutralizados) con una etiqueta de caducado y tres avisos: caducado (2026-09-30T00:00:00Z), autofirmado y el nombre punycode xn--exmple-cua.example. Clave EC P-256, vigencia de 29 días, sin SCT, 2 nombres SAN con enlaces a crt.sh.
Un dominio pegado en lugar de un certificado
example.comSolo la nota «No PEM block (-----BEGIN CERTIFICATE-----) found.» (no se encontró ningún bloque PEM).
Preguntas frecuentes
¿Qué lee el decodificador de un certificado?
Analiza estrictamente la estructura DER y muestra la versión, el número de serie, el algoritmo de firma, los atributos del sujeto y del emisor, la validez, el tipo y el tamaño de la clave pública, y las extensiones: nombres SAN, usos de la clave, políticas (DV, OV, EV), direcciones CRL y OCSP y marcas de tiempo CT incrustadas. Las huellas SHA-1, SHA-256 y de la clave pública se calculan con Web Crypto.
¿Comprueba si el certificado es de confianza o está revocado?
No. No verifica firmas, no construye una ruta hasta una raíz de confianza ni consulta OCSP ni CRL; solo compara los nombres del emisor y del sujeto y los identificadores de clave para saber si una cadena está en orden. Indicadores como un emisor DV gratuito o un nombre comodín son contexto para una investigación, no un veredicto.
¿Se envía el certificado a algún sitio?
No. La decodificación y el cálculo de huellas se ejecutan en tu navegador. Los botones de crt.sh son enlaces que abren crt.sh en una pestaña nueva con la huella o el nombre en la dirección, y solo cuando los pulsas.
¿Para qué mirar el certificado de un sitio de phishing?
Su lista SAN puede nombrar otros dominios de la misma campaña, y su huella o su clave pública se pueden buscar en crt.sh para encontrar certificados relacionados. El inicio de la validez también indica cuándo se montó el sitio.
¿Puedo pegar un certificado copiado de un registro JSON?
Sí. El texto PEM con secuencias \n literales se desescapa primero, y también se acepta DER en Base64 o hexadecimal sin la línea BEGIN.
¿Y si pego una clave privada o una CSR?
Ninguna de las dos se decodifica. Una clave privada recibe un aviso de no pegar claves en páginas web, y una solicitud de firma de certificado se omite con una nota.
¿Lee paquetes .p7b?
Sí. Un paquete PKCS#7 se desempaqueta, una nota indica cuántos certificados se extrajeron y cada uno se muestra en orden. Se muestran hasta 20 certificados por ejecución.