Analizador de certificados SSL
Pega un certificado PEM y léelo como una tabla: emisor, sujeto, nombres cubiertos, ventana de validez, huella, analizado por completo en tu navegador. Una consulta opcional a crt.sh muestra el historial de Certificate Transparency del mismo dominio. Para ver qué presenta un servidor ahora mismo, usa en su lugar el comprobador SSL.
Analizar un certificado
Autofirmado: el sujeto y el emisor coinciden, así que ninguna autoridad pública respalda este certificado.
- Sujeto
- Emisor
- Número de serie
- Algoritmo de firma
- Clave pública
- Válido desde
- Válido hasta
- Días restantes
- Nombres cubiertos (SAN)
- Huella SHA-256
Historial de Certificate Transparency (opcional)
Busca en crt.sh todos los certificados registrados públicamente que se hayan emitido para un dominio. Esto es historia, no una comprobación en vivo: muestra lo que se ha emitido, incluidos certificados que quizá no reconozcas. Si crt.sh no se puede alcanzar desde este navegador, esta sección lo dice claramente y el analizador de arriba no se ve afectado.
| Nombre común | Emisor | No antes de | No después de | Nombres |
|---|
Cómo leer un certificado
Un certificado une tres cosas: una clave pública, una lista de nombres y una ventana de validez, todo ello firmado por un emisor. El sujeto dice para quién se emitió el certificado; el emisor dice qué autoridad lo firmó, que es donde viven las renovaciones cuando heredas una infraestructura. El número de serie es el identificador único del emisor para este certificado, útil cuando una autoridad revoca un certificado sin tocar a sus hermanos. El algoritmo de firma te dice cómo se hizo la firma del emisor; todo lo que siga en MD5 o SHA-1 superó hace mucho su fecha de retirada y debería sustituirse sea cual sea su fecha de caducidad.
La ventana de validez es la parte con fecha límite, y esta página la convierte en una cuenta de días restantes con los mismos colores que el comprobador en vivo: cómodo más allá de noventa días, ámbar por debajo de noventa, rojo por debajo de treinta y claramente caducado pasado el cero. La lista de nombres cubiertos es lo que los navegadores comprueban de verdad: el nombre común es decoración heredada, y un nombre ausente en esta lista es la causa más frecuente de un aviso del navegador en un sitio por lo demás sano. La huella SHA-256 es un identificador compacto de los bytes exactos del certificado: dos certificados con la misma huella son el mismo certificado, lo que la convierte en la forma fiable de comparar lo que tienes frente a lo que afirma un registro, un proveedor o un colega.
Analizador frente a comprobación en vivo frente a registro de transparencia
Tres preguntas distintas, tres herramientas distintas, y confundirlas causa una confusión real. «¿Qué contiene este archivo?» es el analizador de esta página: sin conexión, exacto, limitado al archivo que tienes. «¿Qué presenta el servidor ahora mismo?» es el comprobador SSL, que realiza un verdadero intercambio TLS y por tanto puede discrepar del archivo: un certificado renovado en disco no significa nada hasta que el servidor se recarga. «¿Qué se ha emitido alguna vez para este dominio?» es la búsqueda en crt.sh, que lee los registros públicos de Certificate Transparency y puede sacar a la luz emisiones olvidadas o no autorizadas que ninguna de las otras dos mostraría. Usa el analizador para leer un archivo, el comprobador para verificar un despliegue y la búsqueda en registros para auditar el historial, y cuando el comprobador y el archivo discrepen, cree al comprobador. Una cuarta pregunta pertenece a otra herramienta: si varios archivos van juntos —qué clave privada corresponde a este certificado y en qué orden debe presentarse la cadena— es el emparejador de certificados y claves, que agrupa certificados, claves y CSR por su clave pública compartida.
El análisis de certificados usa node-forge, bajo la licencia BSD-3-Clause. Las consultas en línea envían el dominio que introduces a crt.sh; el propio analizador PEM no hace ninguna petición de red.
Preguntas frecuentes
¿En qué se diferencia esto del comprobador SSL?
El comprobador SSL realiza un intercambio TLS en vivo contra un servidor e informa del certificado que el servidor presenta realmente ahora. Esta página analiza el texto de certificado que pegas: útil cuando tienes un archivo de certificado, un flujo de CSR o un certificado de un sistema al que no puedes llegar desde aquí. Si puedes llegar al sitio, usa el comprobador SSL; si solo tienes el archivo, usa esta página.
¿Qué aporta crt.sh?
crt.sh busca en los registros públicos de Certificate Transparency: todos los certificados de confianza pública emitidos alguna vez para un dominio, con emisor y fechas de validez. Responde a «qué se ha emitido», incluidos certificados que no esperabas. No puede decirte qué presenta hoy un servidor; solo un intercambio en vivo puede hacerlo.
¿Por qué puede fallar la consulta a crt.sh?
crt.sh es un servicio gratuito de terceros, y que un navegador pueda leer sus respuestas depende de sus cabeceras de origen cruzado. Si falla aquí, la página lo dice claramente y el analizador PEM de arriba sigue funcionando: la consulta en línea es una mejora, no la herramienta.
¿Qué me dicen los SAN que no me dice el nombre común?
Los navegadores modernos ignoran el nombre común y comprueban en su lugar la lista de nombres alternativos del sujeto. Un certificado es válido exactamente para los nombres de esa lista: el dominio pelado sin www, o un subdominio olvidado, es la causa más frecuente de un aviso del navegador en un sitio por lo demás sano.
¿Pegar un certificado filtra algo?
Un certificado es un documento público por diseño: no contiene ninguna clave privada ni nada secreto. La clave privada es un archivo aparte y nunca debe pegarse en ningún sitio. En cualquier caso, el análisis aquí ocurre por completo en tu navegador.