PEM / X.509

Decodifica certificados, CSR y claves públicas PEM: sujeto, validez, SAN, huellas y árbol ASN.1.

Se procesa en tu navegador · Compruébalo Sin envíosDatos enviados: 0 · A otros dominios: 0Analítica: no existe · Anuncios: no existe

Prueba un ejemplo

PEMPega uno o varios bloques «-----BEGIN …-----». Nunca pegues una clave privada: aquí se rechaza.

Todo se decodifica en tu navegador; los certificados son públicos, pero nunca pegues claves privadas.

Aprende

¿Qué es?

Cuando entras en una web por HTTPS, el servidor te enseña un certificado X.509: un documento firmado que dice «esta clave pública pertenece a example.com, y es válida hasta tal fecha». El fichero .pem o .crt que ves en un servidor es ese certificado, escrito como texto entre las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.

¿Para qué sirve?

Comprobar cuándo caduca un certificado antes de que tu web deje de funcionar.
Ver para qué dominios vale (el SAN) y qué clave tiene (RSA 2048, EC P-256…).
Comparar la huella con la que publica tu proveedor.
Revisar una solicitud (CSR) antes de enviarla a la autoridad, o depurar un error de «certificado no válido».

¿Cómo funciona por dentro?

El PEM es Base64 de un binario en formato DER, que es una estructura ASN.1: un árbol de valores con tipo y longitud (secuencias, números, textos, identificadores OID). Esta herramienta lo lee, recorre el árbol y localiza el sujeto, el emisor, las fechas, la clave pública y las extensiones. Cada OID (como 2.5.4.3) se traduce a un nombre (CN). La huella es el SHA-256 o SHA-1 de los bytes DER. Puedes ver el árbol completo en «Ver el árbol ASN.1».

Errores comunes

Pegar una clave privada: nunca. Esta herramienta la rechaza, pero tampoco la pegues en otras webs; si la has expuesto, genera una nueva.
Fiarse sólo del nombre común (CN): los navegadores modernos comprueban el SAN; un certificado sin el dominio en el SAN falla.
Olvidar la cadena: el servidor debe enviar también los certificados intermedios, o algunos clientes darán error.
Confundir «autofirmado» con «inválido»: es válido técnicamente, pero nadie confía en él salvo que lo instales a mano.
Ignorar la caducidad: los certificados caducan (hoy, ~90 días con Let's Encrypt); automatiza la renovación.
Decodificar no es verificar: leer el contenido no comprueba la firma ni la cadena de confianza.

Glosario

Certificado X.509:: Documento digital que une una identidad (un dominio
PEM:: Un formato de texto que envuelve datos binarios en Base64 entre líneas BEGIN y END.
SAN:: Subject Alternative Name - la lista de dominios e IP para los que vale el certificado.
CSR:: Solicitud de certificado - lo que envías a una autoridad para que lo firme.
Huella (fingerprint):: El hash del certificado completo; sirve para comprobar que es exactamente ese.

Para saber más

Más en Seguridad

Aprende paso a paso en la rutaSeguridad de tu sitio web