اطلع على ما تحتويه الشهادة بدقة
تقرأ هذه الأداة شهادات X.509 — شهادات SSL/TLS في كل مواقع HTTPS، وتلك المستخدمة لمصادقة العملاء وتوقيع الكود وS/MIME — وتعرض تفاصيلها: المالك والمُصدِر، وتواريخ الصلاحية والأيام المتبقية حتى الانتهاء، وأسماء المالك البديلة (SAN)، ونوع المفتاح العام وحجمه، وجميع الامتدادات، وبصمات SHA-1 وSHA-256. الصق كتل PEM واحدة أو أكثر، أو كود Base64 المجرد، أو اسحب ملف .crt أو .cer أو .der أو .pem أو .p7b. تُفكك السلسلة الكاملة شهادة تلو الأخرى وتُفحص كل بصمة توقيع مقابل الشهادة التالية. يتم التحليل بالكامل داخل متصفحك؛ ولا يُرفع أي شيء.
كيفية فك تشفير شهادة
- 1الصق الشهادة، بما في ذلك سطر
-----BEGIN CERTIFICATE-----وسطر-----END CERTIFICATE-----، أو اسحب الملف إلى حقل الإدخال. - 2اقرأ الملخص: لمن صدرت الشهادة، ومن أصدرها، وهل هي صالحة اليوم.
- 3تحقق من Subject Alternative Names: تقارن المتصفحات اسم المضيف بهذه القائمة، وليس بالاسم الشائع (Common Name).
- 4انسخ بصمة الشهادة للمقارنة بنسخة أخرى، أو صدّر كل البيانات بصيغة JSON.
ماذا يوجد في شهادة X.509؟
تربط الشهادة مفتاحًا عامًا بهوية معينة، وتكون موقعة من جهة إصدار تشهد على صحة هذا الربط. المالك هو الجهة الصادرة لها الشهادة، والمُصدِر هو الجهة الموقعة، وكلاهما يُكتب كأسماء مميزة مثل CN=example.com, O=Example Inc., C=US. تحدد فترة الصلاحية اللحظات الأولى والأخيرة للوثوق بالشهادة، بينما يميزها الرقم التسلسلي بشكل فريد بين كل ما أصدرته الجهة — وهو ما يظهر في قوائم الإلغاء.
كل التفاصيل الأخرى توجد في الامتدادات. فمنذ الإصدار 3 للشهادات، والذي تتبعه كل الشهادات المستخدمة اليوم، تحمل هذه الامتدادات الجزء الأكبر من المعنى: النطاقات المشمولة، واستخدامات المفتاح، وهل يمكنه توقيع شهادات أخرى، ومكان التحقق من إلغاء الشهادة.
الامتدادات الأكثر أهمية
- Subject Alternative Name (SAN)
- أسماء DNS وعناوين IP والبريد الإلكتروني وURIs التي تغطيها الشهادة. تتجاهل المتصفحات الاسم الشائع وتعتمد هذه القائمة فقط؛ ويغطي الاسم العام مثل <code>*.example.com</code> مستوى واحدًا من النطاقات الفرعية.
- Key Usage و Extended Key Usage
- ما يُسمح للمفتاح بفعله: التوقيع، وتشفير المفاتيح، وتوقيع الشهادات؛ ولأي غرض، مثل مصادقة خادم TLS أو توقيع التعليمات البرمجية.
- Basic Constraints
- هل تمثل الشهادة سلطة إصدار شهادات (<code>CA:TRUE</code>) مؤهلة لتوقيع شهادات أخرى، وكم عدد المستويات الوسيطة المسموح بها تاليًا (طول المسار).
- Authority Information Access و CRL Distribution Points
- مكان تنزيل شهادة المُصدِر، ورابط مستجيب OCSP، وموقع قائمة إلغاء الشهادات.
- Certificate Policies
- مستوى التحقق الذي طبقته سلطة الشهادات: التحقق من النطاق (DV)، أو التحقق من المؤسسة (OV)، أو التحقق الموسع (EV).
- Signed Certificate Timestamps
- إثبات تسجيل الشهادة في سجلات Certificate Transparency العامة، وهو ما تتطلبه المتصفحات لشهادات TLS الموثوقة علنًا.
PEM و DER و CRT و CER
DER هو الترميز الثنائي للشهادة (قواعد الترميز المميز ASN.1). وPEM هو نفس البيانات بصيغة Base64 بين سطور -----BEGIN CERTIFICATE----- لتسهيل لصقها في ملفات النصوص والبريد الإلكتروني؛ وتشكل كتل PEM المتعددة في ملف واحد سلسلة شهادات. ولا تحدد الامتدادات .crt و.cer نوع الترميز الداخلي — فكلاهما شائع — وتقبل هذه الأداة كلاهما. كما يُفتح ملف .p7b وهو حزمة PKCS#7 تحتوي على شهادات متعددة.
للتحويل عبر سطر الأوامر، يحول الأمر openssl x509 -in cert.der -inform der -out cert.pem صيغة DER إلى PEM، ويعرض الأمر openssl x509 -in cert.pem -noout -text البيانات ذاتها المعروضة في هذه الصفحة تقريبًا.
السلاسل، والشهادات الموقعة ذاتيًا، والبصمات
يجب على الخادم إرسال شهادته متبوعة بالشهادات الوسيطة التي تؤدي إلى جذر موثوق. عند لصق سلسلة هنا، يتم التحقق من توقيع كل شهادة مقابل المفتاح العام للشهادة التالية، مما يتيح لك التأكد فورًا من صحة الترتيب واكتمال الحلقات. وتُعد الشهادة التي يتطابق فيها المالك والمُصدِر ويُثبت توقيعها بمفتاحها نفسه شهادة موقعة ذاتيًا: إما سلطة جذور أو شهادة مخصصة للاختبار.
بصمة الشهادة هي ناتج تجزئة للشهادة بأكملها. وبصمات SHA-256 هي الطريقة القياسية لتثبيت الشهادات أو مقارنتها؛ بينما لا تزال بصمات SHA-1 معروضة في الأدوات القديمة مثل عارض شهادات Windows. وتغطي بصمة SPKI SHA-256 المفتاح العام فقط، وتبقى ثابتة عند تجديد الشهادة بنفس المفتاح. لإنشاء زوج مفاتيح لشهادة جديدة، راجع مولد أزواج المفاتيح.
الأسئلة الشائعة
- كيف أتحقق من تاريخ انتهاء شهادة SSL؟
- الصق الشهادة وانظر إلى بند الصلاحية: تاريخ ليس بعد هو وقت انتهائها، والشارة توضح عدد الأيام المتبقية. للحصول على شهادة موقع، افتحه في عارض الشهادات بمتصفحك وقم بتصديرها، أو نفّذ openssl s_client -connect example.com:443 -showcerts.
- ما الفرق بين PEM وDER؟
- كلاهما يحتوي على نفس الشهادة. DER ثنائي؛ وPEM هو ذلك المحتوى الثنائي بترميز Base64 مع سطري BEGIN وEND. تقرأ هذه الأداة كليهما.
- لماذا يقول المتصفح إن الاسم غير متطابق؟
- يجب أن يظهر اسم المضيف في امتداد Subject Alternative Name. لم تعد المتصفحات تعتمد على Common Name، لذا تُرفض أي شهادة يقتصر وجود اسمها على CN.
- هل يمكنني فك تشفير سلسلة شهادات كاملة؟
- نعم. الصق جميع كتل PEM معًا، أو اسحب حزمة .pem أو .p7b. تُعرض كل شهادة بالترتيب، ويتم فحص كل توقيع مقابل مفتاح الشهادة التالية.
- ماذا يعني أن الشهادة موقعة ذاتيًا؟
- تم توقيع الشهادة بمفتاحها الخاص بدلاً من جهة إصدار مستقلة. شهادات Root CA موقعة ذاتيًا بطبيعتها؛ أما بالنسبة للمواقع، فلا تكون موثوقة إلا إذا ثُبّتت يدويًا.
- هل يمكن للأداة قراءة مفتاح خاص أو CSR؟
- لا. تقرأ الأداة الشهادات فقط، وستنبهك إذا قمت بلصق مفتاح خاص أو مفتاح عام أو طلب توقيع شهادة بدلاً من ذلك.
- هل من الآمن لصق شهادتي هنا؟
- الشهادات علنية بطبيعتها — ترسلها الخوادم لجميع الزوار — كما أن فك التشفير يتم بالكامل داخل متصفحك. لا تلصق مفتاحًا خاصًا في أي موقع ويب أبدًا.