证书与密钥

解码证书、证书签名请求、吊销列表、OCSP 响应和证书透明度时间戳；生成 CSR 及其密钥，检查密钥、证书和 CSR 是否相互匹配，比较两张证书，整理证书链顺序并获取缺失的中间证书，计算 SPKI 公钥固定值，检测密钥是否存在已知弱点；打开 PFX 文件，拆分 PEM 合集文件，浏览原始 ASN.1 结构，生成你需要的 openssl 命令。密钥始终留在你的浏览器中；少数需要我们服务器的检查会在发送之前说明要发送什么。

17 个工具

X.509 证书解码器

查看证书内容

解码 PEM 或 DER 证书：主体、颁发者、有效期、密钥算法和曲线、签名算法、扩展——并附有关于已弃用算法和后量子就绪程度的说明。

SSH 公钥查看器

解码 authorized_keys 条目

粘贴 OpenSSH 公钥或整个 authorized_keys 文件：查看密钥类型、曲线或长度、SHA-256 和 MD5 指纹以及注释，并对已弃用的密钥类型给出评估。

OpenSSL 命令生成器

生成你需要的 openssl 命令

选择任务——EC 或 RSA 密钥、自签名证书、CSR、PKCS#12 包、签名、TLS 探测——填好空白项，即可复制一条可用的命令，其中每个选项都有解释。粘贴你在别处找到的命令，它同样会逐一解释。

ASN.1 查看器

解码任意 DER 或 BER 结构

粘贴 PEM、base64 或十六进制，或拖放 DER 文件，即可逐层浏览它的 ASN.1 树，查看字节偏移、OID 名称和高亮显示的十六进制。凡是符合 BER 但不符合 DER 的地方都会标出。

DER 文本编辑器

以可读文本编辑 DER

将任意 DER 或 BER 结构转换为 DER ASCII 文本格式，像代码一样编辑，再精确地编译回字节。非常适合制作测试向量和故意构造的畸形输入。

CSR 解码器

赶在 CA 之前检查 CSR

粘贴或拖入证书签名请求，即可查看主体、主题备用名称、密钥、请求的扩展和属性，验证自签名，并找出 CA 会拒绝的错误。

CRL 解码器

读取 CRL 并查找序列号

拖入 .crl 文件或粘贴 PEM，即可查看颁发者、时效状态以及每张被吊销的证书及其原因——然后检查签名，并确认你的证书是否被列入。

OCSP 解码器

读取 OCSP 响应，生成请求

粘贴 OCSP 响应，即可查看证书状态是正常还是已吊销、响应的时效如何以及由谁签名——也可以为证书生成 OCSP 请求，直接用于 curl 或 OpenSSL。

SCT 解码器

证书被哪些 CT 日志记录过

粘贴证书，查看其中嵌入的签名证书时间戳：记录该证书的 CT 日志、记录时间、这些日志在 Chrome 和 Apple 中的状态、每个日志的签名，以及是否满足 CT 策略。

PFX 查看器

查看 .pfx 或 .p12 文件的内容

拖入 .pfx 或 .p12 文件并输入密码：查看其中的每张证书和每个私钥、它们是否相互匹配、各自的加密强度，并导出为 PEM——全部在你的浏览器中完成。

PEM 证书包拆分工具

把 PEM 文件拆分成干净的部分

粘贴 PEM 证书包——服务器证书链、CA 信任库、带 Bag Attributes 的 OpenSSL 输出均可——即可识别每个块，得到按服务器发送顺序排列的证书链、指纹以及可下载的干净文件。

CSR 生成器

在本地创建 CSR 及其密钥

使用在浏览器中生成的密钥或你自己的密钥，创建 PKCS #10 证书签名请求。获取 PEM 文件和等效的 openssl req 命令——私钥绝不会离开此页面。

密钥与证书匹配检测

这个密钥和证书是否匹配？

粘贴私钥、证书、CSR 和公钥，查看其中哪些属于同一密钥对，并显示每一项的 SPKI SHA-256。私钥在你的浏览器中只用于导出其公钥部分。

证书对比

两张证书之间有哪些变化

粘贴旧证书和新证书，查看每一处差异：新增或删除的名称、新的密钥、不同的颁发者，以及有变化的密钥用法、吊销 URL 和扩展。还能区分续期、重新签发和交叉签名。

SPKI 固定值生成器

移动应用的公钥固定值

计算证书链中每张证书（或 CSR、密钥）的 SHA-256 SPKI 固定值（pin），并生成可直接粘贴的 Android、TrustKit（iOS）和 OkHttp 配置——同时检查备用固定值和到期日期。

弱密钥检测

找出已被攻破和已泄露的密钥

在浏览器中检测 RSA、EC 等公钥是否存在已知的生成缺陷（ROCA、素数过于接近、小因子、过小的私钥指数），并可按需对照 badkeys 的 Debian 弱密钥列表和已公开私钥列表检查。

证书链构建工具

排序并修复证书链

粘贴任意顺序的证书包：工具会将其从叶子证书到根证书排好顺序并验证每个签名，找出缺失的中间证书并通过 AIA 获取，最后给出你的服务器应当发送的确切证书链。