Analisador de certificados SSL

Cole um certificado PEM e leia-o como uma tabela: emissor, sujeito, nomes cobertos, janela de validade, impressão digital — analisado inteiramente no seu navegador. Uma consulta opcional ao crt.sh mostra o histórico de Certificate Transparency do mesmo domínio. Para ver o que um servidor apresenta neste momento, use antes o verificador SSL.

Analisar um certificado

Histórico de Certificate Transparency (opcional)

Pesquise no crt.sh todos os certificados registados publicamente já emitidos para um domínio. Isto é histórico, não uma verificação ao vivo: mostra o que foi emitido, incluindo certificados que talvez não reconheça. Se o crt.sh não puder ser alcançado a partir deste navegador, esta secção diz isso claramente e o analisador acima não é afetado.

Como ler um certificado

Um certificado liga três coisas: uma chave pública, uma lista de nomes e uma janela de validade — tudo assinado por um emissor. O sujeito diz para quem o certificado foi emitido; o emissor diz qual a autoridade que o assinou, que é onde vivem as renovações quando herda uma infraestrutura. O número de série é o identificador único do emissor para este certificado, útil quando uma autoridade revoga um certificado sem tocar nos seus irmãos. O algoritmo de assinatura diz-lhe como foi feita a assinatura do emissor; qualquer coisa ainda em MD5 ou SHA-1 já passou há muito a sua data de reforma e deve ser substituída seja qual for a sua data de expiração.

A janela de validade é a parte com prazo, e esta página converte-a numa contagem de dias restantes com as mesmas cores do verificador ao vivo: confortável para além dos noventa dias, âmbar abaixo dos noventa, vermelho abaixo dos trinta e claramente expirado depois do zero. A lista de nomes cobertos é o que os navegadores realmente verificam — o nome comum é decoração legada, e um nome em falta nesta lista é a causa mais comum de um aviso do navegador num site de resto saudável. A impressão digital SHA-256 é um identificador compacto dos bytes exatos do certificado: dois certificados com a mesma impressão digital são o mesmo certificado, o que a torna a forma fiável de comparar o que tem com o que um registo, um fornecedor ou um colega afirma.

Analisador contra verificação ao vivo contra registo de transparência

Três perguntas diferentes, três ferramentas diferentes, e misturá-las causa uma confusão real. «O que contém este ficheiro?» é o analisador desta página — offline, exato, limitado ao ficheiro que tem. «O que apresenta o servidor neste momento?» é o verificador SSL, que realiza um verdadeiro aperto de mão TLS e por isso pode discordar do ficheiro: um certificado renovado em disco não significa nada até o servidor ser recarregado. «O que já foi emitido para este domínio?» é a pesquisa no crt.sh, que lê os registos públicos de Certificate Transparency e pode trazer à superfície emissões esquecidas ou não autorizadas que nenhuma das outras duas mostraria. Use o analisador para ler um ficheiro, o verificador para validar uma implantação e a pesquisa em registos para auditar o histórico — e quando o verificador e o ficheiro discordarem, acredite no verificador. Uma quarta pergunta pertence a outra ferramenta: se vários ficheiros andam juntos — qual a chave privada que corresponde a este certificado e por que ordem deve a cadeia ser apresentada — é o emparelhador de certificados e chaves, que agrupa certificados, chaves e CSR pela sua chave pública partilhada.

A análise de certificados usa o node-forge, sob a licença BSD-3-Clause. As consultas online enviam o domínio que introduz para o crt.sh; o próprio analisador PEM não faz nenhum pedido de rede.

Perguntas frequentes

Qual é a diferença em relação ao verificador SSL?

O verificador SSL realiza um aperto de mão TLS ao vivo contra um servidor e relata o certificado que o servidor apresenta realmente agora. Esta página analisa o texto de certificado que cola — útil quando tem um ficheiro de certificado, um fluxo de CSR ou um certificado de um sistema a que não consegue chegar daqui. Se consegue chegar ao site, use o verificador SSL; se só tem o ficheiro, use esta página.

O que acrescenta o crt.sh?

O crt.sh pesquisa os registos públicos de Certificate Transparency: todos os certificados de confiança pública já emitidos para um domínio, com emissor e datas de validade. Responde a «o que foi emitido» — incluindo certificados que não esperava. Não pode dizer-lhe o que um servidor apresenta hoje; só um aperto de mão ao vivo pode fazê-lo.

Porque pode a consulta ao crt.sh falhar?

O crt.sh é um serviço gratuito de terceiros, e o facto de um navegador conseguir ler as suas respostas depende dos seus cabeçalhos de origem cruzada. Se falhar aqui, a página diz isso claramente e o analisador PEM acima continua a funcionar — a consulta online é uma melhoria, não a ferramenta.

O que me dizem os SAN que o nome comum não diz?

Os navegadores modernos ignoram o nome comum e verificam antes a lista de nomes alternativos do sujeito. Um certificado é válido exatamente para os nomes dessa lista: o domínio nu sem www, ou um subdomínio esquecido, é a causa mais comum de um aviso do navegador num site de resto saudável.

Colar um certificado deixa escapar alguma coisa?

Um certificado é um documento público por conceção — não contém nenhuma chave privada nem nada secreto. A chave privada é um ficheiro separado e nunca deve ser colada em lado nenhum. De qualquer forma, a análise aqui acontece inteiramente no seu navegador.