X.509 証明書

生成には、識別名形式のサブジェクト（CN=…,O=…,OU=…,L=…,ST=…,C=XX。名前だけなら CN として扱われます）、鍵アルゴリズム（Ed25519、ECDSA P-256、ECDSA P-384）、証明書の場合は 1〜36500 日の有効期間を指定します。証明書を生成 は自己署名の -----BEGIN CERTIFICATE----- PEM を、CSR を生成 は -----BEGIN CERTIFICATE REQUEST----- PEM を出力し、どちらも続けて新しい秘密鍵を PKCS#8 の -----BEGIN PRIVATE KEY----- ブロックで出力します。サブジェクト代替名 (SAN) 欄のホスト名・IP アドレス・メールアドレス（1 行に 1 つ、またはカンマ区切り）は subjectAltName 拡張に、CSR では extensionRequest 属性に書き込まれます。CN は自動ではコピーされないため、クライアントが使うすべての名前を列挙してください。

解析 は PEM または Base64 DER の証明書・CSR を受け付けます。証明書では、サブジェクト、発行者、notBefore / notAfter、署名アルゴリズムと公開鍵アルゴリズムの OID、Subject Alternative Names を表示し、期限切れ・有効期間前、SHA-1 や MD5 の署名、3072 ビット未満の RSA、弱い曲線には警告を出します。CSR では、サブジェクト、鍵の種類（例: ECDSA P-256、RSA 2048）、署名アルゴリズム、要求された SAN、key usage、extended key usage、basic constraints を表示し、要求自体の署名を検証します（signatureValid）。署名が一致しない場合は、署名後に改変または破損したことを示す警告が出ます。

証明書バンドル。 CERTIFICATE ブロックを 2 つ以上（例：fullchain.pem）貼り付けて 解析 すると、チェーンレポートを作成します。各証明書について名前でバンドル内の発行者を探し、その公開鍵で署名を検証します（RSA PKCS#1、ECDSA P-256/P-384、Ed25519）。検証できないリンク、発行者の欠落、CA でない発行者、誤った順序を警告します。各証明書の SHA-256 と SHA-1 のフィンガープリント、シリアル番号も表示します。信頼ストア、失効（CRL/OCSP）、名前制約は確認しません。

出力はコピーするか、certificate.pem、request.csr.pem、x509.json、csr.json としてダウンロードできます。

CA に送る前に CSR を確認: CERTIFICATE REQUEST の PEM を貼り付けて 解析 をクリックします。OpenSSL で作った api.example.com の要求では、"publicKey": "RSA 2048"、要求された DNS 名と IP、"extendedKeyUsage": ["serverAuth", "clientAuth"]、"signatureValid": true が表示されます。

ローカルサービス用のテスト証明書: CN=api.example.com,O=Example GmbH,C=DE を入力し、ECDSA P-256 を選び、365 日のまま 証明書を生成 をクリックします。結果を解析すると、サブジェクト CN=api.example.com, O=Example GmbH, C=DE と、ちょうど 365 日離れた有効期間が表示されます。

証明書の有効期限を調べる: サーバー証明書（PEM、または設定ファイル内の Base64 DER）を貼り付けて 解析 をクリックします。notAfter が期限で、期限切れの証明書は 警告 に表示されます。

鍵と CSR を一度に作成: サブジェクトを入力し、鍵アルゴリズムを選んで CSR を生成 をクリックします。秘密鍵のブロックは手元に保管し、要求のブロックだけを提出します。