Decodificador de certificados SSL
Pega un certificado PEM (-----BEGIN CERTIFICATE-----) o una cadena completa, o abre un archivo .crt, .cer, .pem o .der, para ver a quién se emitió, quién lo firmó, cuándo caduca, qué dominios cubre y todas sus extensiones. Los certificados se analizan localmente con un decodificador ASN.1 integrado.
Última actualización:
Cómo usar Decodificador de certificados SSL
- Pega el certificado incluidas las líneas BEGIN y END, o pulsa Abrir archivo para cargar un archivo .crt, .cer, .pem o .der. Pulsa Cargar ejemplo para probar una cadena de dos certificados.
- Lee el resumen: el nombre común, la insignia de estado (válido, caducado o aún no válido) y los días restantes.
- Comprueba los dominios en Nombres alternativos del sujeto; los navegadores usan esta lista, no el nombre común.
- Revisa el emisor y la cadena: cuando pegas una cadena, cada certificado indica si su firma fue verificada por el siguiente.
- Copia las huellas o descarga un solo certificado de una cadena como archivo .crt.
Qué contiene un certificado X.509
Un certificado SSL/TLS es una estructura X.509 v3 codificada en DER (ASN.1 binario) y normalmente envuelta en Base64 como PEM. Tiene tres partes: los datos por firmar, el algoritmo de firma y la firma del emisor sobre esos datos.
| Campo | Qué te indica |
|---|---|
| Sujeto | A quién se emitió el certificado (CN, organización, país). En los certificados validados por dominio, normalmente solo el CN. |
| Emisor | La autoridad de certificación (CA) que lo firmó. Debe coincidir con el sujeto del siguiente certificado de la cadena. |
| Validez | Not Before y Not After en UTC. Según las reglas del CA/Browser Forum, los certificados TLS públicos emitidos desde el 15 de marzo de 2026 pueden durar como máximo 200 días; el límite baja a 100 días en marzo de 2027 y a 47 días en marzo de 2029. |
| Número de serie | Único por emisor; se usa en las listas de revocación y en OCSP. |
| Información de clave pública del sujeto | La clave que el servidor demuestra poseer durante el protocolo de enlace TLS (RSA 2048+ o ECDSA P-256/P-384). |
| Nombre alternativo del sujeto (SAN) | Los nombres de host y las direcciones IP para los que el certificado es válido. Los navegadores solo comprueban esta lista. |
| Uso de clave / Uso extendido de clave | Para qué se puede usar la clave, por ejemplo firma digital y autenticación de servidor web TLS. |
| Restricciones básicas | CA:TRUE indica una autoridad de certificación que puede firmar otros certificados; CA:FALSE indica un certificado de entidad final (hoja). |
| Acceso a la información de la autoridad | Dónde descargar el certificado del emisor (CA Issuers) y comprobar la revocación (OCSP). |
| Marcas de tiempo de certificado firmadas (SCT) | Prueba de que el certificado se registró en los registros públicos de Certificate Transparency, algo que exigen Chrome y Safari. |
Problemas habituales de los certificados y cómo detectarlos
- Certificado caducado: la insignia de estado se pone roja. Renuévalo y recarga el servidor web; con clientes ACME como Certbot, comprueba que el temporizador de renovación se ejecuta.
- Nombre que no coincide: introduce el nombre de host en Comprobar nombre de host. Si no está cubierto, falta ese nombre en la lista SAN o se usa un comodín para el dominio raíz o para un subdominio más profundo.
- Cadena incompleta: los servidores deben enviar el certificado hoja seguido del intermedio. Si pegas la cadena completa del servidor y la firma de la hoja aparece como No comprobada, falta el intermedio.
- Orden incorrecto: el resumen avisa si la cadena no está ordenada con la hoja primero y luego los intermedios, algo que exigen algunos clientes.
- Algoritmos débiles: los navegadores modernos rechazan las firmas SHA-1 o MD5 y las claves RSA de menos de 2048 bits.
Equivalentes en la línea de comandos
- Mostrar un certificado:
openssl x509 -in cert.pem -text -noout - Huella:
openssl x509 -in cert.pem -noout -fingerprint -sha256 - Convertir DER a PEM:
openssl x509 -inform der -in cert.cer -out cert.pem - Obtener la cadena de un servidor:
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null
Preguntas frecuentes
¿Cómo obtengo el certificado PEM de un sitio web?
En Chrome o Edge, haz clic en el icono a la izquierda de la barra de direcciones, elige La conexión es segura, luego El certificado es válido, abre la pestaña Detalles y pulsa Exportar. En Firefox usa el candado, Conexión segura, Más información, Ver certificado y luego descarga PEM (cert) o PEM (chain). En la línea de comandos: openssl s_client -connect example.com:443 -showcerts.
¿Se sube mi certificado?
No. El certificado se decodifica con JavaScript en tu navegador y las huellas se calculan con la API WebCrypto. Los certificados son documentos públicos, pero aun así nada de lo que pegas sale de la página. Nunca pegues una clave privada en ningún sitio web; si lo haces aquí, la herramienta se niega a procesarla.
¿Por qué el nombre común no coincide con mi dominio?
Los navegadores modernos ignoran el nombre común (CN) y solo comprueban la extensión Nombre alternativo del sujeto (SAN). Un certificado es válido para un nombre de host solo si ese nombre, o un comodín que coincida como *.example.com, aparece en la lista SAN. Un comodín cubre un solo nivel: *.example.com coincide con www.example.com, pero no con example.com ni con a.b.example.com.
¿Qué es la huella de un certificado?
Un hash del certificado completo codificado en DER, normalmente SHA-256. Identifica el certificado de forma única y se usa para el anclaje de certificados (pinning), para comparar certificados y para buscarlos en los registros de Certificate Transparency. No se guarda dentro del certificado; se calcula a partir de él.
¿Qué significan DV, OV y EV?
Son niveles de validación indicados por la extensión Políticas de certificado. Los certificados de validación de dominio (2.23.140.1.2.1) solo demuestran el control del dominio; los de validación de organización (2.23.140.1.2.2) y validación extendida (2.23.140.1.1) también verifican la empresa indicada en el sujeto.
¿Qué demuestra la comprobación de firma?
Cuando pegas una cadena, la herramienta verifica la firma de cada certificado con la clave pública del siguiente certificado. Una comprobación superada demuestra que la clave del siguiente certificado lo firmó. No comprueba si tu sistema operativo confía en la raíz ni si el certificado ha sido revocado.
¿Puede decodificar una CSR o una clave privada?
Este decodificador lee certificados X.509. Si pegas una solicitud de firma de certificado (BEGIN CERTIFICATE REQUEST) o una clave, la herramienta te dice qué es en lugar de adivinar.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.