祈灵工具箱🛂SSL 证书解析 - X.509 / PEM / CSR 在线查看与证书链校验
部署 HTTPS 时经常要确认一张证书到底签给了哪些域名、什么时候过期、中间证书有没有配对、私钥和证书是否匹配。把 PEM 粘贴进来（可以一次粘贴整条证书链），或者拖入 .crt、.cer、.der、.pem、.csr、.key、.p7b 文件，工具会用自带的 ASN.1 DER 解析器逐项解码：使用者与颁发者 DN、序列号、有效期与剩余天数、签名算法、公钥类型与长度（RSA 位数与指数、EC 曲线、Ed25519）、备用名称 SAN、密钥用途与扩展密钥用途、基本约束、SKI/AKI、OCSP 与颁发者证书地址、CRL 分发点、证书策略（DV/OV/EV）、证书透明度 SCT 和 OCSP Must-Staple，并计算 SHA-1/SHA-256 指纹和公钥 Pin。多张证书会按颁发者与使用者名称自动连成链，并用浏览器 WebCrypto 拿上级公钥校验每张证书的签名。CSR（PKCS#10）、PKCS#1/PKCS#8/SEC1 私钥、SPKI 公钥和 PKCS#7 证书包同样能解析；私钥只显示类型和长度，并据此判断与哪张证书匹配，不显示任何秘密数值。还可以切到原始 ASN.1 树查看每个字段的偏移和编码。全部在浏览器本地完成，不上传。
免费 · 无需注册 · 浏览器本地处理最后更新：
正在加载工具...
如何使用SSL 证书解析
- 1粘贴 PEM / Base64 / 十六进制内容，或打开、拖入证书文件
- 2查看每张证书的详细信息、证书链关系和签名校验结果
- 3需要时切换到 ASN.1 结构或 PEM / DER 页签，复制 PEM 或下载 DER
常见问题
- 怎么判断私钥和证书是否匹配？
- 把私钥和证书一起粘贴进来即可。工具会从私钥结构中取出（或借助浏览器推导出）对应的公钥，计算公钥的 SHA-256 Pin，再与每张证书、CSR 的公钥对比，匹配的会直接标出“与证书 #1 的公钥匹配”。整个过程只在本地进行，私钥不会显示，也不会上传；用完记得清空输入框。
- 证书链的顺序应该怎么排？
- 服务器配置的证书链通常按“叶子证书 → 中间证书”排列，根证书一般不需要包含。工具会按颁发者与使用者名称（以及 AKI / SKI）自动找到每张证书的上级，并用上级公钥校验签名；如果粘贴的顺序和签发关系不一致，会给出提示。显示“颁发者不在列表中”说明缺少上级证书，可按“颁发者证书下载”里的地址补齐。
- 支持哪些文件格式？
- 支持 PEM 文本（BEGIN CERTIFICATE、CERTIFICATE REQUEST、PRIVATE KEY、RSA PRIVATE KEY、EC PRIVATE KEY、PUBLIC KEY、PKCS7 等，可多块混合）、不带头尾的 Base64、十六进制 DER，以及 .der / .cer / .crt 二进制文件和 .p7b 证书包。带密码的加密私钥只显示加密方式（PBES2、PBKDF2 迭代次数、加密算法），不会尝试解密；OpenSSH 格式的密钥需先转换。
- SCT 和 OCSP Must-Staple 是什么？
- SCT（签名证书时间戳）证明证书已提交到证书透明度（CT）日志，Chrome、Safari 要求公开信任的证书带有 SCT，工具会列出每个 SCT 的日志 ID 和时间。OCSP Must-Staple（TLS Feature 扩展）要求服务器在握手时附带 OCSP 响应，否则浏览器可以拒绝连接，启用后要确认服务器开启了 OCSP Stapling。