サイトのfaviconのmmh3ハッシュを計算し、Shodan、FOFA、ZoomEye、Censys用のクエリを作成します。
新着
X.509証明書デコーダー
ローカルで動作新着
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
X.509証明書デコーダー を使用してください
機能の説明
PEMの証明書やチェーンを貼り付けるか、.crt、.cer、.der、.p7bファイルをドロップすると、証明書が対象とするすべての名前、発行者、有効期間、フィンガープリントが、各名前のcrt.shリンクとともに表示されます。
すべてブラウザ上で動作します。入力した内容は一切アップロードされません。
X.509証明書デコーダー の使い方
- 証明書を入手する. サイトのcrt.shのエントリーからダウンロードするか、隔離された環境でopenssl s_client -showcertsを実行します。疑わしいページにアクセスする必要はありません。
- 貼り付けるかドロップする. PEMのテキストを（あればチェーン全体を）貼り付けてDecode（デコード）を押すか、.pem、.crt、.cer、.der、.p7bファイルをドロップします。ドロップしたファイルはすぐにデコードされます。
- バッジとフラグを読む. 各証明書には、ステータス、検証レベル、期限切れ、自己署名、Punycodeの名前などの警告が表示されます。
- 名前を確認する. Subject Alternative Namesには、証明書が対象とするすべてのドメイン、IPアドレス、メールアドレスが、それぞれのcrt.sh検索リンクとともに一覧表示されます。
- 調査を広げる. SHA-256または公開鍵のフィンガープリントのリンクを使って、crt.shで同じ証明書や鍵を探します。Send toは、DNS名をIOC Converter、Blocklist Converter、Abuse Report Generator、URL Defangerに渡します。
例
example.comのテスト用証明書
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…このページのためにOpenSSLで生成したものです。*.example.com、www.example.net、192.0.2.10を含む8つのSANエントリー、DVポリシー、2つの埋め込みSCT、発行者Example Test Root CAがあります。2026年1月1日から4月1日まで有効だったため、期限切れとして表示されます。
チェック対象
| シグナル | その意味 |
|---|---|
| ステータスバッジ | 残り日数付きの有効、期限切れ、まだ有効でない、のいずれかです。有効な証明書が示すのは、発行時に誰かがそのドメインを管理していたことだけで、サイトが誠実であることではありません。 |
| 検証レベル | 証明書ポリシーから読み取ったDV、OV、IV、EVのいずれかです。DVは、ドメインの管理だけが確認されたことを意味します。 |
| 自己署名 | 公的な認証局が保証していないため、ブラウザは警告を表示します。 |
| 無料のDV発行者 | Let's Encrypt、ZeroSSL、Google Trust Services、cPanel AutoSSLです。背景情報にすぎません。正規のサイトもフィッシングサイトもこれらを使います。 |
| ワイルドカードと名前の数 | ワイルドカード名は注記されます。1つの証明書に25以上の名前があるのは、CDN、ホスティング、一括発行の証明書に典型的です。 |
| Punycodeの名前 | xn--の名前にはフラグが付くため、似た文字が使われていないか確認できます。 |
| 弱い署名や鍵 | SHA-1やMD5の署名、2048ビット未満のRSA鍵は警告になります。 |
| CTタイムスタンプ | 埋め込まれたSCTは、証明書がいつ公開ログに記録されたかを示します。最も早いものは発行時刻に近いものです。 |
| チェーンの順序 | 貼り付けたチェーンでは、各証明書が発行者名と鍵識別子によって次の証明書と照合されます。署名は検証されません。 |
| サブジェクトと発行者の属性 | 双方の組織、国、その他の名前のフィールドです。公的に信頼された証明書では、組織名が表示されるのはOVとEVの証明書だけで、DVの証明書にはドメインだけが記載されます。 |
その他の例
自己署名のテスト用証明書
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----見出しはlogin.example.net（名前はデファングして表示）で、期限切れのバッジと3つの警告が付きます。期限切れ（2026-09-30T00:00:00Z）、自己署名、Punycodeの名前xn--exmple-cua.exampleです。鍵はEC P-256、有効期間29日、SCTなし、crt.shリンク付きのSAN名が2つです。
証明書の代わりに貼り付けたドメイン
example.com「No PEM block (-----BEGIN CERTIFICATE-----) found.」という注記だけが表示されます。
よくある質問
デコーダーは証明書から何を読み取りますか？
DER構造を厳密に解析し、バージョン、シリアル番号、署名アルゴリズム、サブジェクトと発行者の属性、有効期間、公開鍵の種類とサイズ、そして拡張を表示します。拡張には、SAN名、鍵用途、ポリシー（DV、OV、EV）、CRLとOCSPのアドレス、埋め込まれたCTタイムスタンプが含まれます。SHA-1、SHA-256、公開鍵のフィンガープリントはWeb Cryptoで計算されます。
証明書が信頼できるか、失効しているかを確認しますか？
いいえ。署名の検証、信頼されたルートまでのパスの構築、OCSPやCRLへの問い合わせは行いません。チェーンが正しい順序かどうかを判断するために、発行者とサブジェクトの名前、鍵識別子を比較するだけです。無料のDV発行者やワイルドカード名などのフラグは調査のための背景情報であり、判定ではありません。
証明書はどこかへ送信されますか？
いいえ。デコードとフィンガープリントの計算はブラウザ内で行われます。crt.shのボタンは、フィンガープリントや名前をアドレスに含めてcrt.shを新しいタブで開くリンクで、クリックしたときにだけ開きます。
そもそもフィッシングサイトの証明書を調べるのはなぜですか？
SANの一覧には同じキャンペーンの他のドメインが含まれていることがあり、フィンガープリントや公開鍵をcrt.shで検索すると関連する証明書が見つかることがあります。有効期間の開始日は、サイトが立ち上げられた時期の手がかりにもなります。
JSONのログからコピーした証明書を貼り付けられますか？
はい。リテラルの\nの並びを含むPEMテキストは先にエスケープが解除され、BEGIN行のない素のBase64や16進のDERも受け付けます。
秘密鍵やCSRを貼り付けた場合はどうなりますか？
どちらもデコードされません。秘密鍵の場合はWebページに鍵を貼り付けないよう警告が表示され、証明書署名要求（CSR）は注記付きでスキップされます。
.p7bのバンドルを読み込めますか？
はい。PKCS#7のバンドルは展開され、抽出された証明書の数が注記で示され、それぞれが順番に表示されます。1回に表示されるのは最大20個の証明書です。