SSL 证书解码器（X.509 / PEM 查看器）

每个 HTTPS 网站都会出示一份 X.509 证书，注明它覆盖的域名、颁发者、到期时间以及绑定的密钥。这个解码器读取 PEM 或 DER 证书（或整条证书链），列出主体、颁发者、主体备用名称、带剩余天数的有效期、密钥类型和长度、SHA-256 与 SHA-1 指纹以及全部扩展。对于证书链，它会检查顺序，并用下一个证书的公钥验证每个证书的签名。不会上传任何内容。

使用方法

1. 粘贴一个或多个 -----BEGIN CERTIFICATE----- 块（叶子证书在前），或选择 .crt、.cer、.pem、.der 文件。
2. 检查 SAN 是否覆盖所有主机名，以及剩余天数是否充裕。
3. 把指纹与浏览器或服务器显示的指纹对照。
4. 对于证书链，确认它按颁发顺序排列，并且每个签名都有效。

计算公式

Fingerprint = SHA-256 (or SHA-1) of the whole DER certificate, shown as colon-separated hex. Days left = floor((notAfter − now) ÷ 86,400 s).

当证书的颁发者名称等于下一个证书的主体，并且其签名能用下一个证书的公钥验证（通过 Web Crypto API 使用 RSA PKCS#1 v1.5、ECDSA P-256/384/521 或 Ed25519）时，证书链中的这一环才有效。

示例

示例证书链是由 "Example Test Root CA" 颁发给 www.example.com 的叶子证书。叶子证书使用 EC P-256 密钥，SAN 为 DNS:www.example.com、DNS:example.com、IP Address:192.0.2.1 和 email:admin@example.com，序列号 5A3C99E10042，有效期从 2026 年 11 月 8 日到 2036 年 11 月 5 日，SHA-256 指纹为 B0:42:89:D3:…:77:1A——与 openssl x509 打印的值一致。它的签名可用根证书的 RSA 密钥验证。