SSL Certificate Decoder：在线查看 SSL 证书详细信息

它解决的是证书信息不好读

PEM 证书通常是一大段 Base64 文本，直接打开只能看到编码内容。真正需要确认的信息却分散在证书结构里，比如 Subject、Issuer、有效期、Subject Alternative Name，以及序列号和指纹。SSL Certificate Decoder 会把这些字段拆开显示，省去安装命令行工具或手动查 ASN.1 结构的步骤。

它适合做快速核对，不是证书签发机构，也不是完整的漏洞扫描器。浏览器或服务器对证书链、信任关系和主机名的验证仍然要照常进行。

输入方式很简单

网站也提供安全示例，方便先熟悉结果页面。解析完成后，可以清空输入，再换一张证书继续检查。

解析结果里应该重点看什么

部署前可以按这个顺序检查

1. 确认 SAN 中包含实际要使用的域名，不能只看 Common Name。
2. 核对 Not Before、Not After 与上线时间，留意证书是否已经过期。
3. 记录 Issuer、序列号和 SHA-256 指纹，方便和证书清单或旧版本比较。
4. 证书安装完成后，从客户端真正访问的入口重新取得证书，再进行一次解析。反向代理、负载均衡器和源站可能并没有部署同一张证书。

支持什么，不支持什么

工具支持公有 PEM 证书，以及内容为 PEM 的 .pem、.crt 和 .cer 文件。二进制 DER 格式的 CRT 或 CER、PKCS#7（P7B）、PKCS#12（PFX/P12）证书包、CSR 和私钥不在这套输入范围内。遇到其他容器格式，需要先在受控环境中导出公有证书。

解析在浏览器本地完成，证书文本和文件不会为了这项解析上传或保存到在线账户。即便如此，公有证书和私密材料也应分开管理。不要把私钥、PFX/P12 密码或包含私钥的文件粘贴到网页里。私钥一旦泄露，可能被用于冒充服务。

解析失败时，先检查输入格式

证书解析不成功，很多时候不是证书本身出了问题，而是复制时少了头尾标记，或者拿错了文件。粘贴文本时，应保留完整的 PEM 区块，不要只复制中间的编码内容。一个可以被识别的公有证书通常以 BEGIN CERTIFICATE 开头，以 END CERTIFICATE 结尾。

• 确认复制的是证书，而不是 CSR、私钥或 PFX/P12 容器。
• 如果使用 CRT 或 CER 文件，打开文件确认里面确实是 PEM 文本，不能只根据扩展名判断。
• 从邮件、工单或终端复制时，检查头尾横线有没有丢失，也不要把多余的说明文字一起粘进去。
• 只想检查公开信息时，优先准备单独的公有证书文件，不要为了方便把整套密钥材料交给网页。

这些检查完成后再重新解析，通常比反复更换浏览器或刷新页面更有效。

线上快速查看，线下长期留档

SSL Certificate Decoder 的优点是打开网页就能看结果，适合部署前临时核对一张证书，也适合在同事发来 PEM 文本时快速确认域名和到期时间。页面不要求为这项解析创建账户，证书在浏览器中处理，不会为了查看字段而上传到服务器。

如果团队需要批量扫描许多主机、自动发送到期告警，或者把检查接入发布流水线，仍然应该使用已有的证书监控和命令行流程。网页工具更适合人工阅读和单张比对，正式的证书清单、续期记录和私钥存储则应放在团队认可的系统里。

一个比较顺手的组合是：上线前用解析器确认 SAN、Issuer 和日期，部署后从真实访问入口再次取证书并比对指纹，长期状态交给监控系统跟踪。这样既能快速定位配置差异，也不会把一次手动检查误当成持续监控。