חישוב ה-hash של סמל האתר (favicon) ב-mmh3 באמצעות שאילתות מוכנות ב-Shodan, FOFA, ZoomEye ו-Censys.
חדש
מפענח תעודות X.509
פועל מקומיתחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מפענח תעודות X.509
מה זה עושה
הדבק תעודת PEM או שרשרת תעודות, או גרור ושחרר קובץ בפורמט .crt, .cer, .der או .p7b, כדי לראות את כל השמות שהיא מכסה, מי הנפיק אותה, מהו תוקף התוקף שלה ואת טביעות האצבעות שלה, כולל קישורי crt.sh עבור כל שם.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מפענח תעודות X.509
- קבלו את התעודה. הורד אותו מהערך crt.sh באתר, או הפעל את הפקודה openssl s_client -showcerts בסביבה מבודדת. אין צורך לגלוש לדף החשוד.
- הדבק או גרור ושחרר. הדבק את הטקסט בפורמט PEM — את כל השרשרת, אם יש לך אותה — ולחץ על "פענח", או גרור ושחרר קובץ בפורמט .pem, .crt, .cer, .der או .p7b, אשר יפענח מיד.
- קראו את הסמלים והדגלים. כל תעודה מציגה את מצבה, רמת האימות שלה ואזהרות כגון: פג תוקף, חתומה עצמית או שמות ב-Punycode.
- בדקו את השמות. רשימת שמות חלופיים של הנושא (Subject Alternative Names) מפרטת את כל הדומיינים, כתובות ה-IP וכתובות הדוא"ל שהאישור מכסה, עם קישור לחיפוש ב-crt.sh עבור כל אחד מהם.
- ציר. השתמש בקישורים של טביעת האצבע של SHA-256 או של המפתח הציבורי כדי לאתר את אותו האישור או המפתח באתר crt.sh. הפקודה "Send to" מעבירה את שמות ה-DNS לממיר ה-IOC, לממיר רשימת החסימה, למחולל דוחות על שימוש לרעה או ל-URL Defanger.
דוגמה
תעודת בדיקה עבור example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…נוצר באמצעות OpenSSL עבור דף זה: שמונה רשומות SAN, כולל *.example.com, www.example.net ו-192.0.2.10, מדיניות DV, שני SCT מוטמעים והמנפיק Example Test Root CA. תוקפו היה מ-1 בינואר עד 1 באפריל 2026, ולכן הוא מוצג כפג תוקף.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| תג סטטוס | תעודה בתוקף שנותרו לה ימים, שפג תוקפה או שטרם נכנסה לתוקף. תעודה בתוקף מעידה רק על כך שמישהו שלט בדומיין בעת הנפקתה, ולא על כך שהאתר אמין. |
| רמת אימות | DV, OV, IV או EV – כפי שמופיע במדיניות האישורים. DV פירושו שנבדקה רק השליטה על הדומיין. |
| חתום בעצמי | אין רשות אישורים ציבורית המעידה על תקינותו, ולכן הדפדפנים מציגים אזהרה. |
| מנפיק תעודות DV בחינם | Let's Encrypt, ZeroSSL, Google Trust Services או cPanel AutoSSL. רק להקשר: גם אתרים לגיטימיים וגם אתרי פישינג משתמשים בהם. |
| תווים כלליים ומספר שמות | שמות עם תווים כלליים מסומנים; 25 שמות או יותר בתעודה אחת הם דבר שכיח בתעודות CDN, תעודות אירוח או תעודות בכמות גדולה. |
| שמות ב-Punycode | שמות xn-- מסומנים, כך שתוכלו לבדוק אם יש בהם אותיות דומות. |
| חתימה או מפתח חלשים | חתימות SHA-1 או MD5 ומפתחות RSA באורך של פחות מ-2048 סיביות מהווים סימן אזהרה. |
| חותמות זמן של CT | SCT-ים משובצים מציגים את המועד שבו נרשם האישור בפומבי; המוקדם ביותר הוא קרוב למועד ההנפקה. |
| סדר השרשרת | בשרשרת מודבקת, כל תעודה מותאמת לתעודה הבאה אחריה לפי שם המנפיק ומזהה המפתח. החתימות אינן מאומתות. |
| תכונות הנושא והמנפיק | שדות שם הארגון, המדינה ושמות נוספים עבור שני הצדדים. בתעודות מהימנות לציבור, שם הארגון מופיע רק בתעודות OV ו-EV; בתעודות DV מצוין רק שם התחום. |
דוגמאות נוספות
תעודת בדיקה חתומה עצמית
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----כניסה לכתובת login.example.net (השמות מוצגים ללא סימני הפרדה) עם תעודה שפג תוקפה ושלוש אזהרות: פג תוקף (2026-09-30T00:00:00Z), חתום עצמית, והשם ב-Punycode xn--exmple-cua.example. מפתח EC P-256, תוקף של 29 ימים, ללא SCTs, שני שמות SAN עם קישורים ל-crt.sh.
דומיין שהודבק במקום תעודה
example.comרק ההערה "לא נמצא בלוק PEM (-----BEGIN CERTIFICATE-----)."
שאלות נפוצות
מה המפענח קורא מתוך תעודה?
הוא מנתח את מבנה ה-DER בקפדנות ומציג את הגרסה, המספר הסידורי, אלגוריתם החתימה, תכונות הנושא והמנפיק, תוקף, סוג המפתח הציבורי וגודלו, וכן את ההרחבות: שמות SAN, שימושי מפתח, מדיניות (DV, OV, EV), כתובות CRL ו-OCSP וחותמות זמן CT מוטמעות. טביעות אצבע של SHA-1, SHA-256 ומפתחות ציבוריים מחושבות באמצעות Web Crypto.
האם המערכת בודקת אם האישור הוא אמין או שבוטל?
לא. הוא אינו מאמת חתימות, אינו בונה נתיב לשורש מהימן ואינו מבצע שאילתות ל-OCSP ול-CRL; הוא רק משווה בין שמות המנפיק והנשוא ומזהי המפתחות כדי לקבוע אם השרשרת תקינה. סימנים כגון מנפיק DV חופשי או שם כללי מהווים רק רקע לחקירה, ולא פסק דין.
האם התעודה נשלחת למקום כלשהו?
לא. פעולת הפענוח וזיהוי טביעת האצבע מתבצעות בדפדפן שלך. הכפתורים של crt.sh הם קישורים הפותחים את crt.sh בלשונית חדשה, כאשר טביעת האצבע או השם מופיעים בכתובת, ורק כאשר אתה לוחץ עליהם.
למה בכלל לבדוק את האישור של אתר פישינג?
רשימת ה-SAN שלו עשויה לכלול שמות של דומיינים אחרים מאותה קמפיין, וניתן לחפש את טביעת האצבע או המפתח הציבורי שלו באתר crt.sh כדי לאתר תעודות קשורות. תאריך תחילת התוקף מספק גם הוא רמז לגבי מועד הקמת האתר.
האם אני יכול להדביק תעודה שהועתקה מיומן JSON?
כן. טקסט בפורמט PEM המכיל רצפים מילוליים של \n עובר תחילה תהליך הסרת תווים מיוחדים, וניתן לקבל גם Base64 או DER הקסדצימלי ללא שורת ה-BEGIN.
מה יקרה אם אדביק מפתח פרטי או CSR?
אף אחד מהם אינו מפוענח. במפתח הפרטי מופיעה אזהרה שלא להדביק מפתחות בדפי אינטרנט, ובקשת חתימת תעודה מדלגת עם הערה.
האם הוא תומך בקבצי .p7b?
כן. חבילת PKCS#7 נפתחת, מופיעה הודעה המציינת כמה אישורים חולצו, וכל אחד מהם מוצג לפי הסדר. בכל הפעלה מוצגים עד 20 אישורים.