Calculați hash-ul faviconului mmh3 al unui site folosind interogări gata pregătite pentru Shodan, FOFA, ZoomEye și Censys.
Nou
Decodor de certificate X.509
Rulează localNou
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Decodor de certificate X.509
Ce face
Lipiți un certificat PEM sau un lanț de certificate, sau trageți un fișier .crt, .cer, .der sau .p7b, pentru a vedea toate numele pe care le acoperă, cine l-a emis, cât timp este valabil și amprentele sale, împreună cu linkuri crt.sh pentru fiecare nume.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Decodor de certificate X.509
- Obțineți certificatul. Descărcați-l de pe pagina crt.sh a site-ului sau rulați comanda „openssl s_client -showcerts” într-un mediu izolat. Nu este necesar să accesați pagina suspectă.
- Lipește-l sau trage-l și plasează-l. Lipiți textul PEM, un lanț întreg dacă îl aveți, și apăsați pe „Decodare”, sau trageți un fișier .pem, .crt, .cer, .der sau .p7b, care va fi decodat imediat.
- Citiți insignele și steagurile. Fiecare certificat afișează starea sa, nivelul de validare și avertismente precum „expirat”, „autosemnat” sau „nume în format punycode”.
- Verificați numele. Secțiunea „Nume alternative ale subiectului” enumeră toate domeniile, adresele IP și adresele de e-mail acoperite de certificat, cu un link de căutare pe crt.sh pentru fiecare dintre acestea.
- Pivot. Folosiți linkurile cu amprenta SHA-256 sau cu cheia publică pentru a găsi același certificat sau aceeași cheie pe crt.sh. Comanda „Send to” transmite numele DNS către IOC Converter, Blocklist Converter, Abuse Report Generator sau URL Defanger.
Exemplu
Certificat de testare pentru example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Generat cu OpenSSL pentru această pagină: opt intrări SAN, inclusiv *.example.com, www.example.net și 192.0.2.10, o politică DV, două certificate SCT încorporate și autoritatea de certificare rădăcină Example Test Root CA. Certificatul a fost valabil în perioada 1 ianuarie – 1 aprilie 2026, de aceea este afișat ca expirat.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| Insignă de statut | Valabil, cu zile rămase, expirat sau încă nevalabil. Un certificat valabil arată doar că o anumită persoană deținea controlul asupra domeniului la momentul emiterii acestuia, nu și că site-ul este de încredere. |
| Nivelul de validare | DV, OV, IV sau EV, conform politicilor certificatului. DV înseamnă că s-a verificat doar controlul asupra domeniului. |
| Autosemnat | Nicio autoritate de certificare publică nu garantează pentru acesta, așa că browserele afișează un avertisment. |
| Emitent de DV gratuit | Let's Encrypt, ZeroSSL, Google Trust Services sau cPanel AutoSSL. Doar pentru context: atât site-urile legitime, cât și cele de phishing le utilizează. |
| Caracterele joker și numărul de nume | Sunt menționate numele cu caractere joker; prezența a 25 sau mai multe nume într-un singur certificat este caracteristică certificatelor CDN, de găzduire sau în bloc. |
| Nume în format Punycode | Numele de tip „xn--” sunt marcate, astfel încât să le poți verifica dacă conțin litere similare. |
| Semnătură sau cheie slabă | Semnăturile SHA-1 sau MD5 și cheile RSA cu mai puțin de 2048 de biți generează avertismente. |
| Marcaje temporale CT | SCT-urile încorporate indică momentul în care certificatul a fost înregistrat public; cel mai vechi dintre acestea este apropiat de data emiterii. |
| Ordinea lanțului | Într-un lanț lipit, fiecare certificat este asociat cu cel următor pe baza numelui emitentului și a identificatorului cheii. Semnăturile nu sunt verificate. |
| Atributele subiectului și ale emitentului | Câmpurile referitoare la organizație, țară și alte denumiri pentru ambele părți. În cazul certificatelor recunoscute public, denumirea organizației apare doar în certificatele OV și EV; certificatele DV menționează doar domeniul. |
Alte exemple
Un certificat de testare autosemnat
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Accesarea adresei login.example.net (numele sunt afișate fără caractere speciale) cu un certificat expirat și trei avertismente: expirat (2026-09-30T00:00:00Z), autosemnat și numele în cod punycode xn--exmple-cua.example. Cheie EC P-256, durată de viață de 29 de zile, fără SCT-uri, 2 nume SAN cu linkuri către crt.sh.
Un domeniu inserat în locul unui certificat
example.comDoar mesajul „Nu s-a găsit niciun bloc PEM (-----BEGIN CERTIFICATE-----)”.
Întrebări frecvente
Ce informații extrage decodorul dintr-un certificat?
Analizează cu strictețe structura DER și afișează versiunea, numărul de serie, algoritmul de semnătură, atributele subiectului și emitentului, perioada de valabilitate, tipul și dimensiunea cheii publice, precum și extensiile: numele SAN, utilizările cheii, politicile (DV, OV, EV), adresele CRL și OCSP și marcajele temporale CT încorporate. Amprentele SHA-1, SHA-256 și ale cheilor publice sunt calculate cu ajutorul Web Crypto.
Verifică dacă certificatul este de încredere sau a fost revocat?
Nu. Nu verifică semnăturile, nu creează o cale către o rădăcină de încredere și nu interoghează OCSP și CRL-urile; se limitează la a compara numele emitentului și ale subiectului, precum și identificatorii cheilor, pentru a stabili dacă lanțul este corect. Indicatorii precum un emitent DV gratuit sau un nume de tip „wildcard” constituie elemente de context pentru o investigație, nu un verdict.
Certificatul este trimis undeva?
Nu. Decodarea și identificarea se efectuează în browserul tău. Butoanele crt.sh sunt linkuri care deschid crt.sh într-o filă nouă, cu amprenta digitală sau numele în bara de adrese, și asta doar atunci când dai clic pe ele.
De ce ar trebui să verifici certificatul unui site de phishing?
Lista SAN a acestuia poate include alte domenii din aceeași campanie, iar amprenta digitală sau cheia publică pot fi căutate pe crt.sh pentru a găsi certificate asociate. Data de începere a valabilității oferă, de asemenea, un indiciu cu privire la momentul în care a fost creat site-ul.
Pot să lipesc un certificat copiat dintr-un jurnal JSON?
Da. Textul PEM care conține secvențe literale \n este mai întâi de-escapat, iar formatele Base64 simplu sau DER hexazecimal fără linia BEGIN sunt, de asemenea, acceptate.
Ce se întâmplă dacă lipesc o cheie privată sau un CSR?
Niciuna dintre ele nu este decodată. În cazul cheii private apare un avertisment care recomandă să nu se insereze cheile în pagini web, iar cererea de semnare a certificatului este omisă, fiind însoțită de o notă.
Citește fișierele .p7b?
Da. Un pachet PKCS#7 este dezarhivat, apare un mesaj care indică numărul de certificate extrase, iar fiecare dintre acestea este afișat în ordine. Se afișează până la 20 de certificate pe execuție.