MyDevTools
DE

X.509 Zertifikate

Selbstsignierte X.509-Zertifikate und CSRs mit Ed25519- oder ECDSA-Schlüsseln erstellen und Zertifikate oder CSRs aus PEM/DER lokal im Browser dekodieren.

Eingaben und Dateien bleiben im Browser

Selbstsigniert

Format: CN=Name,O=Org,C=Country

Einer pro Zeile oder durch Kommas getrennt: DNS-Namen (example.com, *.example.com), IP-Adressen, E-Mail-Adressen. Browser prüfen den Hostnamen gegen diese Einträge, nicht gegen den CN.

Parsen

Fügen Sie ein Zertifikat oder eine CSR (PEM oder Base64-DER) ein oder laden Sie ein frisch erzeugtes Beispiel.

Erzeugen Sie ein Zertifikat oder eine CSR oder analysieren Sie eines – das PEM oder die JSON-Zusammenfassung erscheint hier.

Auf dieser Seite

X.509 Zertifikate erstellt selbstsignierte Zertifikate und Zertifikatsanforderungen (CSR, PKCS#10) und dekodiert vorhandene Zertifikate und CSRs in lesbares JSON. Schlüssel werden im Browser erzeugt und Dateien dort geparst; nichts wird hochgeladen.

Detaillierte Funktionalität

Der Generator nimmt einen Betreff als Distinguished Name (CN=…,O=…,OU=…,L=…,ST=…,C=XX; ein einfacher Name wird zum CN), einen Schlüsselalgorithmus (Ed25519, ECDSA P-256 oder ECDSA P-384) und bei Zertifikaten eine Gültigkeit von 1 bis 36500 Tagen. Zertifikat generieren liefert ein selbstsigniertes -----BEGIN CERTIFICATE------PEM, CSR generieren ein -----BEGIN CERTIFICATE REQUEST------PEM; in beiden Fällen folgt der neue private Schlüssel als PKCS#8-Block -----BEGIN PRIVATE KEY-----. Hostnamen, IP-Adressen und E-Mail-Adressen aus dem Feld Alternative Namen (SAN) (einer pro Zeile oder durch Kommas getrennt) landen in der Erweiterung subjectAltName, bei einem CSR im Attribut extensionRequest. Der CN wird dort nicht automatisch übernommen – tragen Sie daher alle Namen ein, unter denen Clients den Dienst aufrufen.

Parsen nimmt ein Zertifikat oder einen CSR als PEM oder Base64-DER. Bei Zertifikaten erscheinen Betreff, Aussteller, notBefore / notAfter, die OIDs von Signatur- und Schlüsselalgorithmus und Subject Alternative Names, mit Warnungen bei abgelaufenen oder noch nicht gültigen Zertifikaten, SHA-1- oder MD5-Signaturen, RSA unter 3072 Bit und schwachen Kurven. Bei CSRs erscheinen Betreff, Schlüsseltyp (etwa ECDSA P-256 oder RSA 2048), Signaturalgorithmus, angeforderte SANs, Key Usage, Extended Key Usage und Basic Constraints; außerdem wird die Selbstsignatur der Anforderung geprüft (signatureValid). Schlägt sie fehl, erscheint eine Warnung: Die Anforderung wurde nach dem Signieren verändert oder beschädigt.

Zertifikatsbündel. Fügen Sie zwei oder mehr CERTIFICATE-Blöcke ein (zum Beispiel fullchain.pem), und Parsen erstellt einen Kettenbericht: Für jedes Zertifikat wird der Aussteller im Bündel anhand des Namens gesucht und die Signatur mit dessen öffentlichem Schlüssel verifiziert (RSA PKCS#1, ECDSA P-256/P-384, Ed25519). Gemeldet werden ungültige Glieder, fehlende Aussteller, Aussteller ohne CA-Kennzeichen und eine falsche Reihenfolge. Jedes Zertifikat erhält außerdem seine SHA-256- und SHA-1-Fingerabdrücke und die Seriennummer. Vertrauensspeicher, Widerruf (CRL/OCSP) und Namensbeschränkungen werden nicht geprüft.

Die Ausgabe lässt sich kopieren oder als certificate.pem, request.csr.pem, x509.json oder csr.json herunterladen.

Praktische Beispiele

CSR vor dem Einreichen bei der CA prüfen: das CERTIFICATE REQUEST-PEM einfügen und Parsen klicken. Eine OpenSSL-Anforderung für api.example.com zeigt "publicKey": "RSA 2048", die angeforderten DNS-Namen und IPs, "extendedKeyUsage": ["serverAuth", "clientAuth"] und "signatureValid": true.

Testzertifikat für einen lokalen Dienst: CN=api.example.com,O=Example GmbH,C=DE eingeben, ECDSA P-256 wählen, 365 Tage lassen und Zertifikat generieren klicken. Das geparste Ergebnis zeigt den Betreff CN=api.example.com, O=Example GmbH, C=DE und Gültigkeitsdaten im Abstand von genau 365 Tagen.

Ablaufdatum eines Zertifikats ermitteln: ein Serverzertifikat (PEM oder Base64-DER aus einer Konfigurationsdatei) einfügen und Parsen klicken; notAfter ist das Ablaufdatum, ein abgelaufenes Zertifikat wird unter Warnungen markiert.

Schlüssel und CSR in einem Schritt: Betreff ausfüllen, Schlüsselalgorithmus wählen und CSR generieren klicken; den privaten Schlüssel behalten und nur den Anforderungsblock einreichen.

So verwenden Sie dieses Tool

  1. Betreff angeben

    Betreff (CN) eingeben, zum Beispiel CN=example.com,O=My Org,C=US, oder nur einen Hostnamen. Unter Alternative Namen (SAN) alle Hostnamen und IPs eintragen, die Clients verwenden.

  2. Schlüssel und Gültigkeit wählen

    Den Schlüsselalgorithmus wählen und bei Zertifikaten die Gültigkeit (Tage) festlegen.

  3. Generieren

    Zertifikat generieren für ein selbstsigniertes Zertifikat oder CSR generieren für eine Zertifikatsanforderung klicken.

  4. Vorhandene Dateien parsen

    Ein Zertifikat oder einen CSR in PEM/DER einfügen einfügen und Parsen klicken, um Felder und Warnungen zu sehen.

Tipps und Best Practices

  • Browser akzeptieren Ed25519-Zertifikate nicht für TLS; für alles, was ein Browser öffnet, ECDSA P-256 wählen.
  • Selbstsignierten Zertifikaten wird nur dort vertraut, wo Sie sie installieren; für öffentliche Websites einen CSR bei einer Zertifizierungsstelle einreichen.
  • Der private Schlüssel steht direkt unter dem Zertifikat oder CSR: getrennt aufbewahren und niemals an die CA senden.
  • Browser ignorieren den CN und gleichen den Hostnamen nur mit den Subject Alternative Names ab: alle Namen und IPs eintragen, unter denen der Dienst erreichbar ist, z. B. example.com, www.example.com, 127.0.0.1.
  • "signatureValid": null bedeutet, dass der Signaturalgorithmus des CSR für die Prüfung nicht unterstützt wird, nicht dass die Prüfung fehlschlug.