MyDevTools
ES

Certificados X.509

Crea certificados X.509 autofirmados y CSR con claves Ed25519 o ECDSA, y decodifica certificados o CSR en PEM/DER, todo localmente en tu navegador.

Tus datos de entrada y archivos no salen del navegador

Autofirmado

Formato: CN=Name,O=Org,C=Country

Uno por línea o separados por comas: nombres DNS (example.com, *.example.com), direcciones IP, direcciones de correo. Los navegadores comparan el host con estas entradas, no con el CN.

Analizar

Pegue un certificado o CSR (PEM o DER en Base64), o cargue un ejemplo recién generado.

Genere un certificado o CSR, o analice uno: el PEM o el resumen JSON aparecerá aquí.

En esta página

Certificados X.509 crea certificados autofirmados y solicitudes de firma (CSR, PKCS#10) y decodifica certificados y CSR existentes a JSON legible. Las claves se generan y los archivos se analizan en tu navegador; no se sube nada.

Funcionalidad detallada

El generador recibe un sujeto como nombre distinguido (CN=…,O=…,OU=…,L=…,ST=…,C=XX; un nombre suelto pasa a ser el CN), un algoritmo de clave (Ed25519, ECDSA P-256 o ECDSA P-384) y, para certificados, una validez de 1 a 36500 días. Generar certificado devuelve un PEM autofirmado -----BEGIN CERTIFICATE----- y Generar CSR un PEM -----BEGIN CERTIFICATE REQUEST-----; en ambos casos le sigue la nueva clave privada en un bloque PKCS#8 -----BEGIN PRIVATE KEY-----. Los nombres de host, direcciones IP y direcciones de correo del campo Nombres alternativos del sujeto (SAN) (uno por línea o separados por comas) se escriben en la extensión subjectAltName; en una CSR, dentro del atributo extensionRequest. El CN no se copia ahí automáticamente, así que incluye todos los nombres que usarán los clientes.

Analizar acepta un certificado o una CSR en PEM o en DER Base64. De un certificado muestra sujeto, emisor, notBefore / notAfter, los OID de los algoritmos de firma y de clave y los Subject Alternative Names, con advertencias si está caducado o aún no es válido, si usa firmas SHA-1 o MD5, RSA de menos de 3072 bits o curvas débiles. De una CSR muestra sujeto, tipo de clave (por ejemplo ECDSA P-256 o RSA 2048), algoritmo de firma, SAN solicitados, key usage, extended key usage y basic constraints, y comprueba la autofirma de la solicitud (signatureValid). Si la firma no verifica aparece una advertencia: la solicitud se modificó o dañó después de firmarse.

Paquetes de certificados. Pegue dos o más bloques CERTIFICATE (por ejemplo fullchain.pem) y Analizar genera un informe de la cadena: para cada certificado busca el emisor en el paquete por nombre y verifica la firma con su clave pública (RSA PKCS#1, ECDSA P-256/P-384, Ed25519). Se señalan eslabones rotos, emisores ausentes, emisores que no son CA y el orden incorrecto. Cada certificado muestra además sus huellas SHA-256 y SHA-1 y el número de serie. No se comprueban almacenes de confianza, revocación (CRL/OCSP) ni restricciones de nombres.

La salida se puede copiar o descargar como certificate.pem, request.csr.pem, x509.json o csr.json.

Ejemplos prácticos

Revisar una CSR antes de enviarla a la CA: pega el PEM CERTIFICATE REQUEST y pulsa Analizar. Una solicitud de OpenSSL para api.example.com muestra "publicKey": "RSA 2048", los nombres DNS e IP pedidos, "extendedKeyUsage": ["serverAuth", "clientAuth"] y "signatureValid": true.

Certificado de prueba para un servicio local: escribe CN=api.example.com,O=Example GmbH,C=DE, elige ECDSA P-256, deja 365 días y pulsa Generar certificado. Al analizar el resultado se ve el sujeto CN=api.example.com, O=Example GmbH, C=DE y fechas de validez separadas exactamente 365 días.

Saber cuándo caduca un certificado: pega el certificado de un servidor (PEM o DER Base64 de un archivo de configuración) y pulsa Analizar; notAfter es la fecha de caducidad y un certificado caducado se marca en Advertencias.

Clave y CSR en un paso: rellena el sujeto, elige el algoritmo de clave y pulsa Generar CSR; guarda el bloque de la clave privada y envía solo el de la solicitud.

Cómo usar esta herramienta

  1. Describe el sujeto

    Escribe el Subject (CN), por ejemplo CN=example.com,O=My Org,C=US, o solo un nombre de host. En Nombres alternativos del sujeto (SAN) añade todos los nombres de host e IP que usarán los clientes.

  2. Elige clave y validez

    Selecciona el Algoritmo de clave y, para un certificado, indica la Validez (días).

  3. Genera

    Pulsa Generar certificado para un certificado autofirmado o Generar CSR para una solicitud de firma.

  4. Analiza archivos existentes

    Pega un certificado o una CSR en Pega PEM/DER y pulsa Analizar para ver sus campos y las Advertencias.

Consejos y mejores prácticas

  • Los navegadores no aceptan certificados Ed25519 para TLS; elige ECDSA P-256 para todo lo que vaya a abrir un navegador.
  • Un certificado autofirmado solo es de confianza donde lo instalas; para sitios públicos envía una CSR a una autoridad de certificación.
  • La clave privada aparece justo debajo del certificado o la CSR: guárdala aparte y no la envíes nunca a la CA.
  • Los navegadores ignoran el CN y comparan el host solo con los Subject Alternative Names: incluye todos los nombres e IP con los que se accede al servicio, por ejemplo example.com, www.example.com, 127.0.0.1.
  • "signatureValid": null significa que el algoritmo de firma de la CSR no se admite para verificar, no que la verificación fallara.