证书 PEM 查看

工具简介

在线 X.509 证书 PEM 查看器。粘贴证书（支持多张，即证书链）即可解析出主体、颁发者、有效期、序列号、签名算法、公钥算法与位数、SHA-1 / SHA-256 指纹、SAN、密钥用途、扩展用途、基础约束、吊销列表地址等字段。解析使用本地化的 node-forge，证书不会上传。

使用步骤

1. 把证书内容粘贴到左侧，或点「选择文件」上传 .pem / .crt / .cer / .der 文件。
2. 点「解析」（粘贴后也会自动解析）。
3. 右侧按证书顺序展示解析结果；多张证书会有顶部标签可跳转。
4. 点任意蓝色等宽字段即可复制该字段的值。
5. 点「复制摘要」得到一份可直接贴进工单的文本摘要。

证书里都有什么

CN 和 SAN 的关系

早期证书用 CN*（Common Name）表示域名，但一张证书只能写一个 CN。后来引入 *SAN（Subject Alternative Name），可以列出多个域名和 IP。

现代浏览器只看 SAN，完全忽略 CN。所以判断证书是否覆盖某个域名时，必须看 SAN 列表，而不是看 CN。这也是为什么很多证书的 CN 和 SAN 第一项是同一个域名。

通配符 *.example.com 只匹配一级子域名，不匹配 a.b.example.com。

指纹有什么用

指纹是整张证书的哈希值（SHA-1 或 SHA-256）。它有两个用途：

• 比对：从两个渠道拿到的证书，指纹一致就说明是同一张。
• 核对：某些服务会公布指纹，用来确认你装的是正确的证书。

注意：指纹不是签名*，它不能证明证书可信，只能证明「这张证书是这一张」。安全上建议使用 *SHA-256，SHA-1 已被认为不安全（Google 在 2017 年演示了 SHA-1 碰撞）。

怎么看有效期

工具会给出状态徽章：

Let's Encrypt 的证书有效期只有 90 天，需要自动续期；商业证书通常 1 年。

适用场景

• 排查「证书不受信任」「证书已过期」这类报错
• 检查证书是否覆盖了需要的域名（看 SAN）
• 部署前核对证书与私钥是否匹配（比对公钥）
• 从证书链里分离出根证书、中间证书
• 做安全审计时记录证书信息

注意事项

• 本工具解析的是证书*（公钥），不是*私钥。粘贴私钥会解析失败，也不应该把私钥贴到任何网页上。
• 支持 .der 格式的二进制证书（上传时会自动转成 Base64 再解析）。
• 证书链（多张证书依次粘贴）会全部解析，顺序按文件中的出现顺序。
• 解析使用 node-forge 在浏览器本地完成，证书内容不会上传，但仍建议不要在公共电脑上粘贴含内网信息的证书。