Calcola l'hash mmh3 della favicon di un sito con query pronte per Shodan, FOFA, ZoomEye e Censys.
Nuovo
Decodificatore di certificati X.509
Funziona in localeNuovo
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Decodificatore di certificati X.509
Cosa fa
Incolla un certificato o una catena PEM, oppure trascina un file .crt, .cer, .der o .p7b, per vedere ogni nome che copre, chi lo ha emesso, per quanto tempo è valido e le sue impronte, con link a crt.sh per ogni nome.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Decodificatore di certificati X.509
- Ottieni il certificato. Scaricalo dalla voce del sito su crt.sh, oppure esegui openssl s_client -showcerts in un ambiente isolato. Non hai bisogno di visitare la pagina sospetta.
- Incollalo o trascinalo. Incolla il testo PEM, l'intera catena se ce l'hai, e premi Decode, oppure trascina un file .pem, .crt, .cer, .der o .p7b, che viene decodificato subito.
- Leggi badge e segnalazioni. Ogni certificato mostra il suo stato, il livello di convalida e avvisi come scaduto, autofirmato o nomi punycode.
- Controlla i nomi. Subject Alternative Names elenca ogni dominio, indirizzo IP e indirizzo e-mail coperto dal certificato, con un link di ricerca su crt.sh per ciascuno.
- Fai pivot. Usa i link delle impronte SHA-256 o della chiave pubblica per trovare lo stesso certificato o la stessa chiave su crt.sh. Send to passa i nomi DNS a IOC Converter, Blocklist Converter, Abuse Report Generator o URL Defanger.
Esempio
Certificato di prova per example.com
-----BEGIN CERTIFICATE-----
MIIEujCCBD+gAwIBAgIJASNFZ4mrze8BMAoGCCqGSM49BAMCMEIxCzAJBgNVBAYT
AlVTMRQwEgYDVQQKDAtFeGFtcGxlIE9yZzEdMBsGA1UEAwwURXhhbXBsZSBUZXN0
IFJvb3QgQ0EwHhcNMjYwMTAxMDAwMDAwWhcNMjYwNDAxMDAwMDAwWjCB4jETMBEG
CysGAQQBgjc8AgEDEwJVUzEdMBsGA1UEDwwUUHJpdmF0ZSBPcmdhbml6YXRpb24x
DjAMBgNVBAUTBTEyMzQ1MQswCQYDVQQGEwJVUzETMBEGA1UECAwKQ2FsaWZvcm5p
YTEVMBMGA1UEBwwMRXhhbXBsZSBDaXR5MRQwEgYDVQQKDAtFeGFtcGxlIE9yZzEQ
MA4GA1UECwwHVGVzdGluZzEUMBIGA1UEAwwLZXhhbXBsZS5jb20xJTAjBgkqhkiG
9w0BCQEWFmhvc3RtYXN0ZXJAZXhhbXBsZS5jb20wWTATBgcqhkjOPQIBBggqhkjO
PQMBBwNCAAQKRzEIgSE3KuPFFfnBW/e1rv/eBMvB9UcJV2IzmnCmeL1OQ2bZMgys
Uw5kZkK0MML16Q7waZrihdHZJTHFPXCfo4ICezCCAncwDAYDVR0TAQH/BAIwADAO
BgNVHQ8BAf8EBAMCB4AwHQYDVR0lBBYwFAYIKwYBBQUHAwEGCCsGAQUFBwMCMB0G
A1UdDgQWBBRYpSZy3JLND2TiEQEyO23ty3tawjAfBgNVHSMEGDAWgBQgtQyBIetb
dU1WSz0o2wT+FYlkVjCBlQYDVR0RBIGNMIGKggtleGFtcGxlLmNvbYINKi5leGFt
cGxlLmNvbYIPd3d3LmV4YW1wbGUubmV0ghFsb2dpbi5leGFtcGxlLm9yZ4cEwAAC
CocQIAENuAAAAAAAAAAAAAAAAYEWaG9zdG1hc3RlckBleGFtcGxlLmNvbYYYaHR0
cHM6Ly9leGFtcGxlLmNvbS9jZXJ0MDMGA1UdHwQsMCowKKAmoCSGImh0dHA6Ly9j
cmwuZXhhbXBsZS5jb20vdGVzdC1jYS5jcmwwYgYIKwYBBQUHAQEEVjBUMCMGCCsG
AQUFBzABhhdodHRwOi8vb2NzcC5leGFtcGxlLmNvbTAtBggrBgEFBQcwAoYhaHR0
cDovL2NhLmV4YW1wbGUuY29tL3Rlc3QtY2EuY3J0MEkGA1UdIARCMEAwCAYGZ4EM
AQIBMDQGCysGAQQBgt8TAQEBMCUwIwYIKwYBBQUHAgEWF2h0dHA6Ly9jcHMuZXhh
bXBsZS5jb20vMHwGCisGAQQB1nkCBAIEbgRsAGoAMwARERERERERERERERERERER
EREREREREREREREREREREQAAAZt22qgAAAAEAwAEAQIDBAAzACIiIiIiIiIiIiIi
IiIiIiIiIiIiIiIiIiIiIiIiIiIiAAABm3baq+gAAAQDAAQBAgMEMAoGCCqGSM49
BAMCA2kAMGYCMQCVPfxWDN1hJmIcriOW5n7OvtId8An+59spRf24F0C+4dvRYqcy
kXB/QBoZX8Q70OkCMQCi76K7RJ0TRsZVIojXtA5/nrV4ndDx3KcQ936ya2QsGUny
hokNkWGVbyoShu/7tJc=
-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Generato con OpenSSL per questa pagina: otto voci SAN tra cui *.example.com, www.example.net e 192.0.2.10, una policy DV, due SCT incorporati e l'emittente Example Test Root CA. Era valido dal 1° gennaio al 1° aprile 2026, quindi viene mostrato come scaduto.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Badge di stato | Valido con i giorni rimanenti, scaduto o non ancora valido. Un certificato valido mostra solo che qualcuno controllava il dominio al momento dell'emissione, non che il sito sia onesto. |
| Livello di convalida | DV, OV, IV o EV, letto dalle policy del certificato. DV significa che è stato verificato solo il controllo del dominio. |
| Autofirmato | Nessuna autorità di certificazione pubblica lo garantisce, quindi i browser mostrano un avviso. |
| Emittente DV gratuito | Let's Encrypt, ZeroSSL, Google Trust Services o cPanel AutoSSL. Solo contesto: li usano sia i siti legittimi sia quelli di phishing. |
| Wildcard e numero di nomi | I nomi wildcard vengono annotati; 25 o più nomi in un certificato sono tipici di certificati di CDN, hosting o emessi in blocco. |
| Nomi punycode | I nomi xn-- vengono segnalati così puoi controllare che non contengano lettere sosia. |
| Firma o chiave debole | Le firme SHA-1 o MD5 e le chiavi RSA sotto i 2048 bit sono avvisi. |
| Timestamp CT | Gli SCT incorporati mostrano quando il certificato è stato registrato pubblicamente; il primo è vicino al momento dell'emissione. |
| Ordine della catena | In una catena incollata ogni certificato viene associato al successivo tramite il nome dell'emittente e l'identificatore della chiave. Le firme non vengono verificate. |
| Attributi di soggetto ed emittente | Organizzazione, paese e altri campi del nome per entrambe le parti. Nei certificati con attendibilità pubblica il nome di un'organizzazione compare solo nei certificati OV ed EV; i certificati DV indicano solo il dominio. |
Altri esempi
Un certificato di prova autofirmato
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Intestazione login.example.net (i nomi sono mostrati in forma defanged) con un badge expired e tre avvisi: scaduto (2026-09-30T00:00:00Z), autofirmato e il nome punycode xn--exmple-cua.example. Chiave EC P-256, durata 29 giorni, nessun SCT, 2 nomi SAN con link a crt.sh.
Un dominio incollato invece di un certificato
example.comSolo la nota "No PEM block (-----BEGIN CERTIFICATE-----) found."
Domande frequenti
Cosa legge il decodificatore da un certificato?
Analizza rigorosamente la struttura DER e mostra versione, numero di serie, algoritmo di firma, attributi di soggetto ed emittente, validità, tipo e dimensione della chiave pubblica, e le estensioni: nomi SAN, utilizzi della chiave, policy (DV, OV, EV), indirizzi CRL e OCSP e timestamp CT incorporati. Le impronte SHA-1, SHA-256 e della chiave pubblica vengono calcolate con Web Crypto.
Verifica che il certificato sia attendibile o revocato?
No. Non verifica le firme, non costruisce un percorso fino a una radice attendibile e non interroga OCSP e CRL; confronta solo i nomi di emittente e soggetto e gli identificatori delle chiavi per capire se una catena è in ordine. Segnalazioni come un emittente DV gratuito o un nome wildcard sono contesto per un'indagine, non un verdetto.
Il certificato viene inviato da qualche parte?
No. Decodifica e calcolo delle impronte avvengono nel tuo browser. I pulsanti crt.sh sono link che aprono crt.sh in una nuova scheda con l'impronta o il nome nell'indirizzo, e solo quando li clicchi.
Perché guardare il certificato di un sito di phishing?
Il suo elenco SAN può nominare altri domini della stessa campagna, e la sua impronta o chiave pubblica può essere cercata su crt.sh per trovare certificati correlati. L'inizio della validità suggerisce anche quando il sito è stato messo in piedi.
Posso incollare un certificato copiato da un log JSON?
Sì. Il testo PEM con sequenze \n letterali viene prima ripristinato, e viene accettato anche DER in Base64 o esadecimale senza la riga BEGIN.
E se incollo una chiave privata o una CSR?
Nessuna delle due viene decodificata. Una chiave privata riceve l'avviso di non incollare chiavi nelle pagine web, e una richiesta di firma del certificato viene saltata con una nota.
Legge i bundle .p7b?
Sì. Un bundle PKCS#7 viene spacchettato, una nota indica quanti certificati sono stati estratti, e ciascuno viene mostrato in ordine. Vengono mostrati fino a 20 certificati per esecuzione.