Oblicz hash favikony mmh3 danej witryny za pomocą gotowych zapytań w serwisach Shodan, FOFA, ZoomEye i Censys.
Nowe
Dekoder certyfikatów X.509
Działa lokalnieNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Dekoder certyfikatów X.509
Jak to działa
Wklej certyfikat PEM lub łańcuch certyfikatów albo przeciągnij i upuść plik z rozszerzeniem .crt, .cer, .der lub .p7b, aby wyświetlić wszystkie nazwy, które obejmuje, informacje o wydawcy, okres ważności oraz odciski palców, wraz z linkami crt.sh dla każdej nazwy.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Dekoder certyfikatów X.509
- Pobierz certyfikat. Pobierz go z wpisu crt.sh na tej stronie lub uruchom polecenie `openssl s_client -showcerts` w izolowanym środowisku. Nie musisz odwiedzać podejrzanej strony.
- Wklej lub przeciągnij i upuść. Wklej tekst PEM – cały ciąg, jeśli go posiadasz – i naciśnij przycisk „Dekoduj” lub przeciągnij i upuść plik z rozszerzeniem .pem, .crt, .cer, .der lub .p7b, który zostanie natychmiast zdekodowany.
- Zapoznaj się z odznakami i flagami. Każdy certyfikat zawiera informacje o swoim statusie, poziomie weryfikacji oraz ostrzeżeniach, takich jak wygaśnięcie, certyfikat z podpisem własnym lub nazwy w formacie punycode.
- Sprawdź nazwy. W sekcji „Alternatywne nazwy podmiotu” wymieniono wszystkie domeny, adresy IP i adresy e-mail objęte certyfikatem, a przy każdym z nich znajduje się link do wyszukiwania w serwisie crt.sh.
- Pivot. Skorzystaj z linków do odcisków palców SHA-256 lub klucza publicznego, aby znaleźć ten sam certyfikat lub klucz na stronie crt.sh. Polecenie „Send to” przekazuje nazwy DNS do narzędzi IOC Converter, Blocklist Converter, Abuse Report Generator lub URL Defanger.
Przykład
Certyfikat testowy dla domeny example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Wygenerowano za pomocą OpenSSL dla tej strony: osiem wpisów SAN, w tym *.example.com, www.example.net i 192.0.2.10, politykę DV, dwa osadzone certyfikaty SCT oraz wystawcę Example Test Root CA. Certyfikat był ważny od 1 stycznia do 1 kwietnia 2026 r., dlatego jest wyświetlany jako wygasły.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Odznaka statusu | Ważny, z pozostałą liczbą dni ważności, wygasły lub jeszcze nieważny. Ważny certyfikat potwierdza jedynie, że dana osoba była właścicielem domeny w momencie jego wydania, a nie to, że strona jest wiarygodna. |
| Poziom walidacji | DV, OV, IV lub EV – informacje te można znaleźć w zasadach certyfikatów. Skrót DV oznacza, że sprawdzono wyłącznie kontrolę nad domeną. |
| Podpisane samodzielnie | Żaden publiczny urząd certyfikacji nie potwierdza jego autentyczności, dlatego przeglądarki wyświetlają ostrzeżenie. |
| Wydawca bezpłatnych dokumentów DV | Let's Encrypt, ZeroSSL, Google Trust Services lub cPanel AutoSSL. Tylko w kontekście: korzystają z nich zarówno legalne strony, jak i strony phishingowe. |
| Symbole wieloznaczne i liczba wystąpień nazwy | Wskazano nazwy zawierające symbole wieloznaczne; 25 lub więcej nazw w jednym certyfikacie to typowa cecha certyfikatów CDN, hostingowych lub zbiorczych. |
| Nazwy w formacie Punycode | Nazwy typu „xn--” są oznaczone, dzięki czemu można sprawdzić, czy nie zawierają liter, które mogą być mylone z innymi. |
| Słaby podpis lub klucz | Podpisy SHA-1 lub MD5 oraz klucze RSA o długości poniżej 2048 bitów powodują wyświetlenie ostrzeżenia. |
| Znaczniki czasu w tomografii komputerowej | Wbudowane kody SCT wskazują, kiedy certyfikat został publicznie zarejestrowany; najwcześniejszy z nich jest zbliżony do daty wydania. |
| Zlecenie łańcuchowe | W łańcuchu wklejonym każdy certyfikat jest powiązany z następnym na podstawie nazwy wystawcy i identyfikatora klucza. Podpisy nie są weryfikowane. |
| Atrybuty przedmiotu i wystawcy | Pola dotyczące nazwy organizacji, kraju i innych danych dla obu stron. W przypadku certyfikatów cieszących się zaufaniem publicznym nazwa organizacji pojawia się wyłącznie w certyfikatach typu OV i EV; certyfikaty typu DV zawierają jedynie nazwę domeny. |
Więcej przykładów
Certyfikat testowy z podpisem własnym
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Próba połączenia z serwisem login.example.net (nazwy podano w postaci zneutralizowanej) przy użyciu wygasłego certyfikatu i trzech ostrzeżeń: wygasły (2026-09-30T00:00:00Z), podpisany samodzielnie oraz nazwa w formacie punycode xn--exmple-cua.example. Klucz EC P-256, okres ważności 29 dni, brak SCT, 2 nazwy SAN z linkami do plików crt.sh.
Domena wklejona zamiast certyfikatu
example.comPojawił się jedynie komunikat: „Nie znaleziono bloku PEM (-----BEGIN CERTIFICATE-----)”.
Najczęściej zadawane pytania
Jakie informacje dekoder odczytuje z certyfikatu?
Narzędzie to dokładnie analizuje strukturę DER i wyświetla wersję, numer seryjny, algorytm podpisu, atrybuty podmiotu i wystawcy, okres ważności, typ i rozmiar klucza publicznego, a także rozszerzenia: nazwy SAN, zastosowania klucza, zasady (DV, OV, EV), adresy CRL i OCSP oraz osadzone znaczniki czasu CT. Odciski palców SHA-1, SHA-256 i klucza publicznego są obliczane za pomocą biblioteki Web Crypto.
Czy sprawdza, czy certyfikat jest zaufany, czy też został unieważniony?
Nie. Nie weryfikuje podpisów, nie tworzy ścieżki do zaufanego korzenia ani nie wysyła zapytań do serwerów OCSP i list CRL; ogranicza się jedynie do porównania nazw wydawcy i podmiotu oraz identyfikatorów kluczy w celu ustalenia, czy łańcuch jest prawidłowy. Sygnały ostrzegawcze, takie jak bezpłatny wydawca certyfikatów DV lub nazwa zawierająca symbole wieloznaczne, stanowią jedynie kontekst do dalszej analizy, a nie ostateczny werdykt.
Czy certyfikat jest gdzieś wysyłany?
Nie. Dekodowanie i generowanie odcisku odbywa się w przeglądarce. Przyciski crt.sh to linki, które otwierają stronę crt.sh w nowej karcie z odciskiem lub nazwą w adresie – i to wyłącznie po ich kliknięciu.
Po co w ogóle sprawdzać certyfikat strony phishingowej?
Na liście SAN mogą znajdować się nazwy innych domen należących do tej samej kampanii, a jej odcisk palca lub klucz publiczny można wyszukać na stronie crt.sh w celu znalezienia powiązanych certyfikatów. Data rozpoczęcia ważności wskazuje również, kiedy strona została uruchomiona.
Czy mogę wkleić certyfikat skopiowany z pliku dziennika w formacie JSON?
Tak. Tekst w formacie PEM zawierający dosłowne sekwencje \n jest najpierw pozbawiany znaków escape, a akceptowany jest również zwykły kod Base64 lub szesnastkowy DER bez wiersza BEGIN.
A co się stanie, jeśli wkleję klucz prywatny lub CSR?
Żadne z nich nie jest dekodowane. W przypadku klucza prywatnego wyświetla się ostrzeżenie, aby nie wklejać kluczy na stronach internetowych, a żądanie podpisania certyfikatu jest pomijane wraz z odpowiednią informacją.
Czy obsługuje pliki .p7b?
Tak. Pakiet PKCS#7 jest rozpakowywany, pojawia się komunikat informujący o liczbie wyodrębnionych certyfikatów, a każdy z nich jest wyświetlany po kolei. W jednym przebiegu wyświetla się maksymalnie 20 certyfikatów.