免费在线 X.509 证书解码器，粘贴 PEM 格式证书即可查看 Subject、Issuer、有效期、公钥算法、指纹等完整信息
摘要：免费的 X.509 证书解码器：PEM 本地解析主题、颁发者、有效期、SAN、Key Usage，并识别 SM2/SM3 国密 OID；证书内容不上传。
本地工具可在 DevTools → Network 搜索输入内容，通常不会出现在请求中。
使用指南
HTTPS 证书（PEM/CRT）是 Base64 编码的 X.509 结构：签发者、主体、有效期、SAN 域名清单、公钥算法与密钥用途全部写在里面。证书告警排查、到期巡检、轮换验收，第一步都是「把证书拆开看」。本工具在浏览器本地解析 PEM——回答「谁签的、给哪些域名、什么时候过期、密钥是什么规格」，证书内容不上传。
1. 解析一张证书
DER 二进制需先转 PEM（Base64 加头尾）再粘贴；CSR 与私钥块不属于本页范围。
- 粘贴 PEM 文本（-----BEGIN CERTIFICATE----- 块；一串多张证书会自动拆块）。
- 查看解析结果：Subject/Issuer、NotBefore/NotAfter、SAN 列表、公钥算法与长度、Key Usage / Extended Key Usage。
- 对照预期核对：域名是否都在 SAN、有效期窗口、签发链是否完整。
2. 浏览器证书告警的三大经典原因
①域名不匹配：现代浏览器只看 SAN（Subject Alternative Name），旧式的 CN 字段只是历史兼容——证书 CN 写对了但 SAN 漏了域名，照样报错。②过期或未生效：NotAfter 已过、或系统时钟漂移导致 NotBefore 校验失败（容器里时区/时间不对是高频事故）。③链不完整：服务器只发了叶子证书、缺中间证书——这是「电脑浏览器正常、手机/小程序报错」的头号原因，因为部分客户端不缓存中间证。先用本页确认是哪一类，再动 nginx/CDN 配置，比盲改快得多。
3. 读 Key Usage 与算法：证书的「规格表」
Key Usage 声明这张证的用途（数字签名/密钥加密/CA 签发等），Extended Key Usage 进一步限定场景（serverAuth、clientAuth、代码签名）。用错 EKU 的证书握手会被拒。算法段看两处：公钥算法与长度（RSA 2048+/ECDSA P-256+ 是当前主流，RSA 1024 与 SHA-1 属于应淘汰规格）；签名算法（SHA-256 起步）。自签证书与内部 CA 签发的证书字段完全合法——合法性判定不在本页（见下），但规格缺陷一眼可见。
4. 国密双证书（SM2/TLCP）
国密 TLS（TLCP）采用签名证书 + 加密证书的双证结构，字段与 OID 组合和国际链路不同：你会看到两张证成对出现、用途分工明确。本页帮你读清每张证的字段与用途归属；完整的国密握手验证、CRL/OCSP 吊销检查需要专用工具链，不在浏览器解码范围内——这是能力边界，如实说明。
5. 信任边界：解析 ≠ 信任
任何人都能生成一张「长得像样」的证书——字段完整、格式合法。是否可信取决于签发链是否终止于你信任的根（系统/浏览器内置锚点）以及是否被吊销。本页是显微镜不是法官：它把证书拆给你看，判定信任请交给 openssl verify、浏览器或你的信任库。把这条边界写进团队习惯，能避免「解码通过=证书可信」的危险误解。
6. 运维实践
- 到期巡检：以 NotAfter 建台账，提前 30/7/1 天三档告警；证书更换后重新解一次，确认新证 SAN 覆盖所有业务域名。
- 轮换验收：新旧证书的 Subject Key Identifier 与公钥对比，确认真的换了而不是刷新了同一张。
- 工单留档：贴解码文本（去敏感字段）比截图清晰可检索；多证书链用拆块结果逐一标注。
7. 隐私与红线
证书本身是公开材料（握手时人人可下载），粘贴无妨；但同一个 PEM 文件里可能混着私钥块——粘贴前确认只有 CERTIFICATE 块，PRIVATE KEY 块绝不能进任何在线工具（包括本地工具，避免误存误传）。证书透明度日志（CT log）里能查到全站签发记录，证书信息不存在保密问题，私钥才是生命线。
常见问题
支持 PEM 文本（-----BEGIN CERTIFICATE-----）的 X.509 解析：Subject / Issuer / 有效期 / 签名与公钥算法 / SAN / Key Usage。粘贴一串多张证书会自动拆块逐张展示；DER 二进制需先转成 PEM 再粘贴，CSR 不在支持范围。
可以识别常见国密 OID（如 SM2 with SM3、SM2 Public Key），并解析 Key Usage，便于区分 TLCP 场景下的签名证书（digitalSignature）与加密证书（keyEncipherment / keyAgreement）。本页只读 X.509 字段，不执行 TLCP / ShangMi 握手；协议部署见本站《国密 HTTPS / nginx》指南。
证书是公开材料——TLS 握手时任何人都能下载到，本页的解析也只在本地进行。真正要防的是同一个 PEM 文件里混着的私钥块：粘贴前确认只有 CERTIFICATE 块，PRIVATE KEY 内容绝不能进任何在线工具。
能逐张查看叶子或中间证书的字段（含 SAN、Key Usage），但不做链构建、路径验证与吊销检查。完整链是否下发、是否被客户端信任，需要对照服务端实际输出（如 openssl s_client）或外部链路检测。
三类高发：①域名不匹配——现代浏览器只看 SAN，CN 写对了但 SAN 漏了域名照样报错；②过期或未生效——NotAfter 已过，或系统时钟漂移导致 NotBefore 校验失败，容器里时间不对是高频事故；③链不完整——服务器只发叶子证书，这是「电脑正常、手机/小程序报错」的头号原因，部分客户端不缓存中间证。先用本页确认属于哪一类，再动 nginx/CDN 配置。
不代表。任何人都能生成字段完整、格式合法的证书；可信与否取决于签发链是否终止于你信任的根，以及证书是否被吊销。本页是显微镜不是法官——信任判定请交给 openssl verify、浏览器或你的信任库。
相关工具
相关文章
在线证书解码器：解析 SSL/TLS 证书信息
用本地证书解码器读懂 PEM：Subject/Issuer/SAN/有效期与证书链。对照 OpenSSL 命令，排查域名不匹配、链缺失与时钟漂移——证书内容不上传。
HTTPS 证书链不完整：浏览器不信任但解码「看起来正常」
叶证书日期有效、SAN 也对，浏览器仍报不受信任？多数是缺中间证书或 fullchain 顺序错。用 openssl s_client 与本地证书解码器逐级核对 Issuer→Subject。
在线 JWT 解码工具对比与推荐（2026）
对比 4 款主流在线 JWT 解码工具的签名校验、隐私与过期检测：jwt.io 生态成熟、Base64Decode 顺手解、ToolVault 本地运行，各有各的位置。附 401 排查路径与可复现的验证方法。