Certificados X.509

O gerador recebe um assunto como nome distinto (CN=…,O=…,OU=…,L=…,ST=…,C=XX; um nome simples vira o CN), um algoritmo de chave (Ed25519, ECDSA P-256 ou ECDSA P-384) e, para certificados, uma validade de 1 a 36500 dias. Gerar certificado devolve um PEM autoassinado -----BEGIN CERTIFICATE----- e Gerar CSR um PEM -----BEGIN CERTIFICATE REQUEST-----; nos dois casos a nova chave privada vem em seguida, num bloco PKCS#8 -----BEGIN PRIVATE KEY-----. Nomes de host, endereços IP e endereços de e-mail do campo Nomes alternativos do sujeito (SAN) (um por linha ou separados por vírgula) vão para a extensão subjectAltName — no CSR, dentro do atributo extensionRequest. O CN não é copiado para lá automaticamente, então liste todos os nomes que os clientes vão usar.

Analisar aceita um certificado ou um CSR em PEM ou DER Base64. Para um certificado mostra assunto, emissor, notBefore / notAfter, os OIDs dos algoritmos de assinatura e de chave e os Subject Alternative Names, com avisos para certificados expirados ou ainda não válidos, assinaturas SHA-1 ou MD5, RSA abaixo de 3072 bits e curvas fracas. Para um CSR mostra assunto, tipo de chave (por exemplo ECDSA P-256 ou RSA 2048), algoritmo de assinatura, SANs pedidos, key usage, extended key usage e basic constraints, e verifica a autoassinatura da solicitação (signatureValid). Se a assinatura não confere, aparece um aviso: a solicitação foi alterada ou corrompida depois de assinada.

Pacotes de certificados. Cole dois ou mais blocos CERTIFICATE (por exemplo fullchain.pem) e Analisar gera um relatório da cadeia: para cada certificado procura o emissor no pacote pelo nome e verifica a assinatura com a chave pública dele (RSA PKCS#1, ECDSA P-256/P-384, Ed25519). São sinalizados elos quebrados, emissor ausente, emissor que não é CA e ordem errada. Cada certificado mostra também as impressões digitais SHA-256 e SHA-1 e o número de série. Repositórios de confiança, revogação (CRL/OCSP) e restrições de nome não são verificados.

A saída pode ser copiada ou baixada como certificate.pem, request.csr.pem, x509.json ou csr.json.

Conferir um CSR antes de enviá-lo à CA: cole o PEM CERTIFICATE REQUEST e clique em Analisar. Uma solicitação do OpenSSL para api.example.com mostra "publicKey": "RSA 2048", os nomes DNS e IPs pedidos, "extendedKeyUsage": ["serverAuth", "clientAuth"] e "signatureValid": true.

Certificado de teste para um serviço local: digite CN=api.example.com,O=Example GmbH,C=DE, escolha ECDSA P-256, mantenha 365 dias e clique em Gerar certificado. Ao analisar o resultado aparecem o assunto CN=api.example.com, O=Example GmbH, C=DE e datas de validade separadas por exatamente 365 dias.

Descobrir quando um certificado expira: cole o certificado de um servidor (PEM ou DER Base64 de um arquivo de configuração) e clique em Analisar; notAfter é a data de expiração e um certificado vencido é marcado em Avisos.

Chave e CSR em um passo: preencha o assunto, escolha o algoritmo da chave e clique em Gerar CSR; guarde o bloco da chave privada e envie só o da solicitação.