Bereken de mmh3-favicon-hash van een website met kant-en-klare zoekopdrachten voor Shodan, FOFA, ZoomEye en Censys.
Nieuw
X.509-certificaatdecoder
Draait lokaalNieuw
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik X.509-certificaatdecoder
Wat het doet
Plak een PEM-certificaat of -certificaatketen, of sleep een .crt-, .cer-, .der- of .p7b-bestand naar deze pagina om alle namen te zien die het certificaat omvat, wie het heeft uitgegeven, hoe lang het geldig is en de vingerafdrukken ervan, met crt.sh-links voor elke naam.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je X.509-certificaatdecoder
- Vraag het certificaat aan. Download het via de crt.sh-vermelding op de website, of voer `openssl s_client -showcerts` uit in een geïsoleerde omgeving. Je hoeft de verdachte pagina niet te bezoeken.
- Plak het of sleep het erheen. Plak de PEM-tekst (de volledige reeks, als je die hebt) en klik op ‘Decoderen’, of sleep een .pem-, .crt-, .cer-, .der- of .p7b-bestand naar het veld; het bestand wordt dan direct gedecodeerd.
- Lees de insignes en vlaggen. Op elk certificaat worden de status, het validatieniveau en waarschuwingen weergegeven, zoals ‘verlopen’, ‘zelfondertekend’ of ‘Punycode-namen’.
- Controleer de namen. Onder ‘Alternatieve namen’ staan alle domeinen, IP-adressen en e-mailadressen vermeld die onder het certificaat vallen, met voor elk daarvan een zoeklink naar crt.sh.
- Draaipunt. Gebruik de links voor de SHA-256-vingerafdruk of de vingerafdruk van de openbare sleutel om hetzelfde certificaat of dezelfde sleutel op crt.sh te vinden. Met ‘Verzenden naar’ worden de DNS-namen doorgestuurd naar de IOC-converter, de blokkeerlijst-converter, de generator voor misbruikmeldingen of de URL-Defanger.
Voorbeeld
Testcertificaat voor example.com
-----BEGIN CERTIFICATE-----
MIIEujCCBD+gAwIBAgIJASNFZ4mrze8BMAoGCCqGSM49BAMCMEIxCzAJBgNVBAYT
AlVTMRQwEgYDVQQKDAtFeGFtcGxlIE9yZzEdMBsGA1UEAwwURXhhbXBsZSBUZXN0
IFJvb3QgQ0EwHhcNMjYwMTAxMDAwMDAwWhcNMjYwNDAxMDAwMDAwWjCB4jETMBEG
CysGAQQBgjc8AgEDEwJVUzEdMBsGA1UEDwwUUHJpdmF0ZSBPcmdhbml6YXRpb24x
DjAMBgNVBAUTBTEyMzQ1MQswCQYDVQQGEwJVUzETMBEGA1UECAwKQ2FsaWZvcm5p
YTEVMBMGA1UEBwwMRXhhbXBsZSBDaXR5MRQwEgYDVQQKDAtFeGFtcGxlIE9yZzEQ
MA4GA1UECwwHVGVzdGluZzEUMBIGA1UEAwwLZXhhbXBsZS5jb20xJTAjBgkqhkiG
9w0BCQEWFmhvc3RtYXN0ZXJAZXhhbXBsZS5jb20wWTATBgcqhkjOPQIBBggqhkjO
PQMBBwNCAAQKRzEIgSE3KuPFFfnBW/e1rv/eBMvB9UcJV2IzmnCmeL1OQ2bZMgys
Uw5kZkK0MML16Q7waZrihdHZJTHFPXCfo4ICezCCAncwDAYDVR0TAQH/BAIwADAO
BgNVHQ8BAf8EBAMCB4AwHQYDVR0lBBYwFAYIKwYBBQUHAwEGCCsGAQUFBwMCMB0G
A1UdDgQWBBRYpSZy3JLND2TiEQEyO23ty3tawjAfBgNVHSMEGDAWgBQgtQyBIetb
dU1WSz0o2wT+FYlkVjCBlQYDVR0RBIGNMIGKggtleGFtcGxlLmNvbYINKi5leGFt
cGxlLmNvbYIPd3d3LmV4YW1wbGUubmV0ghFsb2dpbi5leGFtcGxlLm9yZ4cEwAAC
CocQIAENuAAAAAAAAAAAAAAAAYEWaG9zdG1hc3RlckBleGFtcGxlLmNvbYYYaHR0
cHM6Ly9leGFtcGxlLmNvbS9jZXJ0MDMGA1UdHwQsMCowKKAmoCSGImh0dHA6Ly9j
cmwuZXhhbXBsZS5jb20vdGVzdC1jYS5jcmwwYgYIKwYBBQUHAQEEVjBUMCMGCCsG
AQUFBzABhhdodHRwOi8vb2NzcC5leGFtcGxlLmNvbTAtBggrBgEFBQcwAoYhaHR0
cDovL2NhLmV4YW1wbGUuY29tL3Rlc3QtY2EuY3J0MEkGA1UdIARCMEAwCAYGZ4EM
AQIBMDQGCysGAQQBgt8TAQEBMCUwIwYIKwYBBQUHAgEWF2h0dHA6Ly9jcHMuZXhh
bXBsZS5jb20vMHwGCisGAQQB1nkCBAIEbgRsAGoAMwARERERERERERERERERERER
EREREREREREREREREREREQAAAZt22qgAAAAEAwAEAQIDBAAzACIiIiIiIiIiIiIi
IiIiIiIiIiIiIiIiIiIiIiIiIiIiAAABm3baq+gAAAQDAAQBAgMEMAoGCCqGSM49
BAMCA2kAMGYCMQCVPfxWDN1hJmIcriOW5n7OvtId8An+59spRf24F0C+4dvRYqcy
kXB/QBoZX8Q70OkCMQCi76K7RJ0TRsZVIojXtA5/nrV4ndDx3KcQ936ya2QsGUny
hokNkWGVbyoShu/7tJc=
-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Voor deze pagina gegenereerd met OpenSSL: acht SAN-vermeldingen, waaronder *.example.com, www.example.net en 192.0.2.10, een DV-beleid, twee ingebedde SCT’s en de uitgever Example Test Root CA. Het was geldig van 1 januari tot 1 april 2026, dus het wordt weergegeven als verlopen.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Statusbadge | Geldig met nog [aantal] dagen te gaan, verlopen of nog niet geldig. Een geldig certificaat geeft alleen aan dat iemand op het moment van afgifte de beheerder van het domein was, niet dat de website betrouwbaar is. |
| Validatieniveau | DV, OV, IV of EV, zoals vermeld in de certificaatbeleidsregels. DV betekent dat alleen de controle van het domein is gecontroleerd. |
| Zelf ondertekend | Er is geen openbare certificeringsinstantie die hiervoor instaat, dus geven browsers een waarschuwing weer. |
| Gratis DV-uitgever | Let's Encrypt, ZeroSSL, Google Trust Services of cPanel AutoSSL. Alleen ter verduidelijking: zowel legitieme websites als phishing-sites maken hier gebruik van. |
| Jokertekens en het aantal namen | Er worden jokertekens in namen vermeld; 25 of meer namen in één certificaat is gebruikelijk bij CDN-, hosting- of bulkcertificaten. |
| Punycode-namen | xn---namen worden gemarkeerd, zodat je ze kunt controleren op letters die op elkaar lijken. |
| Zwakke handtekening of sleutel | SHA-1- of MD5-handtekeningen en RSA-sleutels van minder dan 2048 bits worden als waarschuwingen aangemerkt. |
| CT-tijdstempels | Ingesloten SCT’s geven aan wanneer het certificaat openbaar is geregistreerd; de vroegste datum ligt dicht bij het tijdstip van uitgifte. |
| Ketenbestelling | In een gekoppelde keten wordt elk certificaat aan het volgende gekoppeld op basis van de naam van de uitgever en de sleutel-ID. Handtekeningen worden niet geverifieerd. |
| Kenmerken van het onderwerp en de uitgever | Velden voor de naam van de organisatie, het land en andere gegevens voor beide partijen. Bij openbaar vertrouwde certificaten wordt de naam van de organisatie alleen vermeld in OV- en EV-certificaten; bij DV-certificaten wordt alleen het domein vermeld. |
Nog meer voorbeelden
Een zelfondertekend testcertificaat
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Toegang tot login.example.net (namen zijn geanonimiseerd) met een verlopen badge en drie waarschuwingen: verlopen (2026-09-30T00:00:00Z), zelfondertekend en de punycode-naam xn--exmple-cua.example. Sleutel EC P-256, geldigheidsduur 29 dagen, geen SCT's, 2 SAN-namen met crt.sh-links.
Een domein dat in plaats van een certificaat is geplakt
example.comAlleen de melding "Geen PEM-blok (-----BEGIN CERTIFICATE-----) gevonden."
Veelgestelde vragen
Wat haalt de decoder uit een certificaat?
Het analyseert de DER-structuur nauwkeurig en toont de versie, het serienummer, het ondertekeningsalgoritme, de kenmerken van de ondertekenaar en de uitgever, de geldigheidsduur, het type en de grootte van de openbare sleutel, en de uitbreidingen: SAN-namen, sleuteltoepassingen, beleidsregels (DV, OV, EV), CRL- en OCSP-adressen en ingebedde CT-tijdstempels. SHA-1-, SHA-256- en publieke-sleutelvingerafdrukken worden berekend met Web Crypto.
Wordt er gecontroleerd of het certificaat betrouwbaar is of ingetrokken?
Nee. Het controleert geen handtekeningen, stelt geen pad naar een vertrouwde root samen en voert geen OCSP- en CRL-query’s uit; het vergelijkt alleen de namen van de uitgever en de ondertekenaar en de sleutel-ID’s om te bepalen of een keten in orde is. Indicatoren zoals een gratis DV-uitgever of een wildcard-naam vormen de context voor een onderzoek, maar zijn geen definitief oordeel.
Wordt het certificaat ergens naartoe gestuurd?
Nee. Het decoderen en het genereren van de vingerafdruk vinden plaats in je browser. De crt.sh-knoppen zijn links die crt.sh in een nieuw tabblad openen met de vingerafdruk of naam in de adresbalk, en dat gebeurt alleen als je erop klikt.
Waarom zou je überhaupt naar het certificaat van een phishing-website kijken?
De SAN-lijst kan andere domeinen van dezelfde campagne vermelden, en de vingerafdruk of openbare sleutel ervan kan op crt.sh worden opgezocht om gerelateerde certificaten te vinden. De ingangsdatum van de geldigheidsduur geeft ook een indicatie van wanneer de site is opgezet.
Kan ik een certificaat plakken dat ik uit een JSON-logbestand heb gekopieerd?
Ja. PEM-tekst met letterlijke \n-reeksen wordt eerst ontdaan van escape-tekens, en ook pure Base64 of hex DER zonder de BEGIN-regel wordt geaccepteerd.
Wat gebeurt er als ik een privésleutel of een CSR plak?
Geen van beide wordt gedecodeerd. Bij een privésleutel verschijnt een waarschuwing om geen sleutels in webpagina’s te plakken, en een certificaatondertekeningsverzoek wordt overgeslagen met een opmerking.
Leest het .p7b-bundels?
Ja. Een PKCS#7-bundel wordt uitgepakt, er verschijnt een melding met het aantal certificaten dat is uitgepakt en elk certificaat wordt op volgorde weergegeven. Per uitvoering worden maximaal 20 certificaten weergegeven.