Bagaimana cara mengecek kapan sertifikat SSL kedaluwarsa?

Tempel sertifikat dan lihat bagian Masa berlaku: tanggal Tidak setelah adalah saat sertifikat kedaluwarsa, dan lencananya menunjukkan sisa hari. Untuk mendapatkan sertifikat sebuah situs, buka penampil sertifikat di browser Anda lalu ekspor, atau jalankan openssl s_client -connect example.com:443 -showcerts.

Apa bedanya PEM dan DER?

Keduanya berisi sertifikat yang sama. DER berbentuk biner; PEM adalah biner tersebut dalam Base64 dengan baris BEGIN dan END. Alat ini membaca keduanya.

Kenapa browser saya bilang namanya tidak cocok?

Nama host harus tercantum di ekstensi Subject Alternative Name. Browser tidak lagi melihat Common Name, jadi sertifikat yang namanya hanya ada di CN akan ditolak.

Bisakah saya mendekode seluruh rantai sertifikat?

Bisa. Tempel semua blok PEM sekaligus, atau letakkan bundel .pem atau .p7b. Setiap sertifikat ditampilkan berurutan, dan setiap tanda tangan diperiksa dengan kunci sertifikat berikutnya.

Apa arti self-signed?

Sertifikat ditandatangani dengan kuncinya sendiri, bukan oleh CA terpisah. Sertifikat root CA memang self-signed; untuk situs web, sertifikat self-signed hanya dipercaya di perangkat tempat ia dipasang secara manual.

Bisakah alat ini mendekode kunci privat atau CSR?

Tidak. Alat ini hanya membaca sertifikat, dan akan memberi tahu Anda jika yang ditempel ternyata kunci privat, kunci publik, atau certificate signing request.

Apakah aman menempel sertifikat saya di sini?

Sertifikat bersifat publik — server mengirimkannya ke setiap pengunjung — dan bagaimanapun dekode sepenuhnya berlangsung di browser Anda. Jangan pernah menempel kunci privat ke situs web mana pun.

Decoder Sertifikat X.509: PEM, CRT & DER

Lihat persis apa isi sebuah sertifikat

Decoder sertifikat ini membaca sertifikat X.509 — sertifikat SSL/TLS di setiap situs HTTPS, serta yang dipakai untuk autentikasi klien, penandatanganan kode, dan S/MIME — lalu menampilkan isinya: subjek dan penerbit, tanggal berlaku dan sisa hari sebelum kedaluwarsa, subject alternative name, jenis dan ukuran kunci publik, semua ekstensi, serta sidik jari SHA-1 dan SHA-256. Tempel satu atau beberapa blok PEM, Base64 polos, atau letakkan file .crt, .cer, .der, .pem, atau .p7b. Rantai lengkap didekode satu per satu, dan setiap tanda tangan diperiksa terhadap sertifikat berikutnya. Penguraian berlangsung di browser Anda; tidak ada yang diunggah.

Cara mendekode sertifikat

1Tempel sertifikat, termasuk baris -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE-----, atau letakkan file-nya ke kolom input.
2Baca ringkasannya: untuk siapa sertifikat diterbitkan, siapa penerbitnya, dan apakah masih berlaku hari ini.
3Periksa Subject Alternative Name: browser mencocokkan nama host dengan daftar ini, bukan dengan Common Name.
4Salin sidik jari untuk dibandingkan dengan salinan lain, atau ekspor semuanya sebagai JSON.

Apa isi sertifikat X.509?

Sertifikat mengikat sebuah kunci publik ke sebuah nama, dan ditandatangani oleh penerbit yang menjamin ikatan tersebut. Subjek adalah pemilik sertifikat dan penerbit adalah pihak yang menandatanganinya, keduanya ditulis sebagai distinguished name seperti CN=example.com, O=Example Inc., C=US. Masa berlaku menunjukkan saat pertama dan terakhir sertifikat boleh dipercaya, dan nomor seri mengidentifikasinya secara unik di antara semua yang pernah ditandatangani penerbit — nomor inilah yang muncul di daftar pencabutan.

Selebihnya ada di ekstensi. Sejak versi 3 format ini, yang diikuti semua sertifikat yang dipakai saat ini, ekstensi membawa sebagian besar maknanya: nama apa saja yang dicakup, untuk apa kunci boleh dipakai, apakah boleh menandatangani sertifikat lain, dan di mana memeriksa apakah sertifikat telah dicabut.

Ekstensi yang penting

Subject Alternative Name (SAN): Nama DNS, alamat IP, email, dan URI yang dicakup sertifikat. Browser mengabaikan Common Name dan hanya memeriksa daftar ini; wildcard seperti <code>*.example.com</code> mencakup satu tingkat subdomain.
Key Usage dan Extended Key Usage: Apa yang boleh dilakukan kunci: menandatangani, mengenkripsi kunci, menandatangani sertifikat; dan untuk tujuan apa, misalnya autentikasi server TLS atau penandatanganan kode.
Basic Constraints: Apakah ini otoritas sertifikat (<code>CA:TRUE</code>) yang boleh menandatangani sertifikat lain, dan berapa tingkat perantara yang boleh mengikutinya (path length).
Authority Information Access dan CRL Distribution Points: Tempat mengunduh sertifikat penerbit, alamat responder OCSP-nya, dan lokasi daftar pencabutan sertifikatnya.
Certificate Policies: Tingkat validasi yang diterapkan CA: domain validated (DV), organization validated (OV), atau extended validation (EV).
Signed Certificate Timestamps: Bukti bahwa sertifikat telah dicatat di log Certificate Transparency publik, yang diwajibkan browser untuk sertifikat TLS yang dipercaya publik.

PEM, DER, CRT, dan CER

DER adalah encoding biner sebuah sertifikat (ASN.1 Distinguished Encoding Rules). PEM adalah byte yang sama dalam Base64 di antara baris -----BEGIN CERTIFICATE-----, sehingga bisa ditempel ke file teks dan email; beberapa blok PEM dalam satu file membentuk rantai. Ekstensi .crt dan .cer tidak menunjukkan encoding apa yang ada di dalamnya — keduanya umum — dan decoder ini menerima keduanya. File .p7b adalah bundel PKCS#7 berisi beberapa sertifikat, dan juga bisa dibuka.

Untuk mengonversi lewat command line, openssl x509 -in cert.der -inform der -out cert.pem mengubah DER menjadi PEM, dan openssl x509 -in cert.pem -noout -text menampilkan informasi yang kurang lebih sama dengan halaman ini.

Rantai, sertifikat self-signed, dan sidik jari

Server seharusnya mengirim sertifikatnya sendiri diikuti sertifikat perantara yang mengarah ke root tepercaya. Saat Anda menempel rantai di sini, tanda tangan setiap sertifikat diverifikasi dengan kunci publik sertifikat sesudahnya, sehingga Anda langsung melihat apakah urutannya benar dan apakah ada mata rantai yang hilang. Sertifikat yang subjek dan penerbitnya sama, dan tanda tangannya terverifikasi dengan kuncinya sendiri, disebut self-signed: entah root CA atau sertifikat buatan untuk pengujian.

Sidik jari adalah hash dari seluruh sertifikat. Sidik jari SHA-256 adalah cara standar untuk mem-pin atau membandingkan sertifikat; sidik jari SHA-1 masih ditampilkan oleh alat lama seperti penampil sertifikat Windows. Hash SPKI SHA-256 hanya mencakup kunci publik, dan tetap sama saat sertifikat diperpanjang dengan kunci yang sama. Untuk membuat pasangan kunci bagi sertifikat baru, lihat generator pasangan kunci.

Pertanyaan yang sering diajukan

Bagaimana cara mengecek kapan sertifikat SSL kedaluwarsa?: Tempel sertifikat dan lihat bagian Masa berlaku: tanggal Tidak setelah adalah saat sertifikat kedaluwarsa, dan lencananya menunjukkan sisa hari. Untuk mendapatkan sertifikat sebuah situs, buka penampil sertifikat di browser Anda lalu ekspor, atau jalankan openssl s_client -connect example.com:443 -showcerts.
Apa bedanya PEM dan DER?: Keduanya berisi sertifikat yang sama. DER berbentuk biner; PEM adalah biner tersebut dalam Base64 dengan baris BEGIN dan END. Alat ini membaca keduanya.
Kenapa browser saya bilang namanya tidak cocok?: Nama host harus tercantum di ekstensi Subject Alternative Name. Browser tidak lagi melihat Common Name, jadi sertifikat yang namanya hanya ada di CN akan ditolak.
Bisakah saya mendekode seluruh rantai sertifikat?: Bisa. Tempel semua blok PEM sekaligus, atau letakkan bundel .pem atau .p7b. Setiap sertifikat ditampilkan berurutan, dan setiap tanda tangan diperiksa dengan kunci sertifikat berikutnya.
Apa arti self-signed?: Sertifikat ditandatangani dengan kuncinya sendiri, bukan oleh CA terpisah. Sertifikat root CA memang self-signed; untuk situs web, sertifikat self-signed hanya dipercaya di perangkat tempat ia dipasang secara manual.
Bisakah alat ini mendekode kunci privat atau CSR?: Tidak. Alat ini hanya membaca sertifikat, dan akan memberi tahu Anda jika yang ditempel ternyata kunci privat, kunci publik, atau certificate signing request.
Apakah aman menempel sertifikat saya di sini?: Sertifikat bersifat publik — server mengirimkannya ke setiap pengunjung — dan bagaimanapun dekode sepenuhnya berlangsung di browser Anda. Jangan pernah menempel kunci privat ke situs web mana pun.