Обчисліть mmh3-хеш favicon сайту з готовими запитами для Shodan, FOFA, ZoomEye і Censys.
Новий
Декодер сертифікатів X.509
Працює локальноНовий
Сам інструмент доступний англійською мовою; на цій сторінці наведено пояснення вашою мовою.
Використовуйте Декодер сертифікатів X.509
Як це працює
Вставте сертифікат або ланцюжок у форматі PEM чи перетягніть файл .crt, .cer, .der або .p7b, щоб побачити всі імена, які він охоплює, хто його видав, скільки він дійсний і його відбитки, з посиланнями crt.sh для кожного імені.
Програма працює повністю у вашому браузері: жодні введені вами дані не завантажуються.
Як користуватися Декодер сертифікатів X.509
- Отримайте сертифікат. Завантажте його із запису сайту в crt.sh або виконайте openssl s_client -showcerts в ізольованому середовищі. Відвідувати підозрілу сторінку не потрібно.
- Вставте або перетягніть його. Вставте текст PEM, за наявності — весь ланцюжок, і натисніть Decode (декодувати) або перетягніть файл .pem, .crt, .cer, .der чи .p7b, який декодується одразу.
- Прочитайте позначки й попередження. Кожен сертифікат показує свій статус, рівень перевірки та попередження, як-от прострочений, самопідписаний чи імена в punycode.
- Перевірте імена. Subject Alternative Names перелічує всі домени, IP-адреси та адреси електронної пошти, які охоплює сертифікат, із посиланням на пошук crt.sh для кожного.
- Розширте пошук. Скористайтеся посиланнями з відбитком SHA-256 чи відбитком відкритого ключа, щоб знайти той самий сертифікат або ключ у crt.sh. Send to (надіслати до) передає DNS-імена до IOC Converter, Blocklist Converter, Abuse Report Generator або URL Defanger.
Приклад
Тестовий сертифікат для example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Створений за допомогою OpenSSL для цієї сторінки: вісім записів SAN, зокрема *.example.com, www.example.net і 192.0.2.10, політика DV, два вбудовані SCT і видавець Example Test Root CA. Він був дійсний з 1 січня до 1 квітня 2026 року, тому показується як прострочений.
Що перевіряється
| Сигнал | Що це означає |
|---|---|
| Позначка статусу | Дійсний із кількістю днів, що залишилися, прострочений або ще не дійсний. Дійсний сертифікат лише показує, що хтось контролював домен на момент видачі, а не що сайт чесний. |
| Рівень перевірки | DV, OV, IV чи EV, визначений за політиками сертифіката. DV означає, що перевірено лише контроль над доменом. |
| Самопідписаний | За нього не ручається жоден публічний центр сертифікації, тож браузери показують попередження. |
| Безкоштовний DV-видавець | Let's Encrypt, ZeroSSL, Google Trust Services або cPanel AutoSSL. Лише контекст: ними користуються і легітимні, і фішингові сайти. |
| Wildcard-імена й кількість імен | Wildcard-імена відзначаються; 25 чи більше імен в одному сертифікаті типово для CDN, хостингу чи масових сертифікатів. |
| Імена в punycode | Імена xn-- позначаються, щоб ви могли перевірити їх на схожі літери. |
| Слабкий підпис або ключ | Підписи SHA-1 чи MD5 і ключі RSA коротші за 2048 біт є попередженнями. |
| Позначки часу CT | Вбудовані SCT показують, коли сертифікат було публічно зареєстровано в журналі; найраніша близька до часу видачі. |
| Порядок ланцюжка | У вставленому ланцюжку кожен сертифікат зіставляється з наступним за іменем видавця та ідентифікатором ключа. Підписи не перевіряються. |
| Атрибути суб'єкта й видавця | Організація, країна та інші поля імені для обох сторін. У публічно довірених сертифікатах назва організації з'являється лише в сертифікатах OV та EV; сертифікати DV називають тільки домен. |
Ще кілька прикладів
Самопідписаний тестовий сертифікат
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Заголовок login.example.net (імена показано знешкодженими (defanged)) з позначкою expired і трьома попередженнями: прострочений (2026-09-30T00:00:00Z), самопідписаний і ім'я в punycode xn--exmple-cua.example. Ключ EC P-256, строк дії 29 днів, без SCT, 2 імені SAN із посиланнями crt.sh.
Домен, вставлений замість сертифіката
example.comЛише примітка «No PEM block (-----BEGIN CERTIFICATE-----) found.» (блок PEM не знайдено).
Часті запитання
Що декодер читає із сертифіката?
Він суворо розбирає структуру DER і показує версію, серійний номер, алгоритм підпису, атрибути суб'єкта й видавця, строк дії, тип і розмір відкритого ключа та розширення: імена SAN, призначення ключа, політики (DV, OV, EV), адреси CRL і OCSP та вбудовані позначки часу CT. Відбитки SHA-1, SHA-256 і відкритого ключа обчислюються за допомогою Web Crypto.
Чи перевіряє він, що сертифікат довірений або не відкликаний?
Ні. Він не перевіряє підписи, не будує шлях до довіреного кореневого сертифіката і не робить запитів до OCSP та CRL; він лише порівнює імена видавця й суб'єкта та ідентифікатори ключів, щоб визначити, чи ланцюжок упорядкований. Позначки на кшталт безкоштовного DV-видавця чи wildcard-імені — це контекст для розслідування, а не вердикт.
Чи надсилається сертифікат кудись?
Ні. Декодування й обчислення відбитків виконуються у вашому браузері. Кнопки crt.sh — це посилання, що відкривають crt.sh у новій вкладці з відбитком чи іменем в адресі, і лише тоді, коли ви їх натиснете.
Навіщо взагалі дивитися на сертифікат фішингового сайту?
Його список SAN може називати інші домени тієї самої кампанії, а за його відбитком чи відкритим ключем можна шукати в crt.sh пов'язані сертифікати. Початок строку дії також підказує, коли сайт було налаштовано.
Чи можна вставити сертифікат, скопійований із журналу JSON?
Так. Текст PEM з буквальними послідовностями \n спершу розекрановується, а голий Base64 чи шістнадцятковий DER без рядка BEGIN теж приймаються.
Що буде, якщо вставити приватний ключ або CSR?
Жоден із них не декодується. Для приватного ключа з'являється попередження не вставляти ключі на вебсторінки, а запит на підпис сертифіката пропускається з приміткою.
Чи читає він пакети .p7b?
Так. Пакет PKCS#7 розпаковується, примітка повідомляє, скільки сертифікатів витягнуто, і кожен показується по порядку. За один запуск показується до 20 сертифікатів.