# 证书解析：在线查看 PEM、CRT、DER、P7B 证书内容

> 在浏览器里解析 X.509 证书：主体、签发者、SAN、有效期、公钥、扩展、SCT、指纹和 SPKI pin，粘贴整条链可检查顺序。

Source: https://ssl.sh/zh/tools/certificate-decoder/
Last updated: 2026-11-10

粘贴一张证书或整条证书链，查看从 SAN、有效期到 SCT、指纹的每个字段。解析在浏览器本地完成。

证书解析工具用来查看 X.509 证书里到底写了什么。粘贴一张或多张 PEM 证书，或者选择 `.crt`、`.cer`、`.der`、`.p7b` 文件，就会列出每个字段。解析用 JavaScript 和 WebCrypto 在浏览器里完成，不会发送到服务器。

## 怎么用

1. 粘贴以 `-----BEGIN CERTIFICATE-----` 开头的证书，或整条证书链，或选择文件。云厂商下载的证书包里 `.pem`、`.crt` 文件都可以直接选。
2. PEM 粘贴完整后会自动解析，也可以点 **解析**。
3. 每张证书下面的 **显示 PEM** 可以单独复制或下载这张证书。

## 字段说明

- **主体 / 签发者**：证书颁发给谁、由哪个 CA 签发。
- **SAN**：证书对哪些域名和 IP 有效，浏览器只看这里，不看 CN。
- **生效 / 到期时间**：有效期，徽标显示剩余天数。
- **公钥**：RSA 及位数，或 ECDSA 及曲线。
- **密钥用途 / 扩展密钥用途**：密钥能做什么，TLS 服务器证书需要 `serverAuth`。
- **证书策略**：通过 CA/B 论坛的 OID 判断 DV、OV 还是 EV。
- **OCSP / CA Issuers / CRL**：客户端去哪里查吊销状态、下载签发者证书。2025 年起 Let's Encrypt 的证书只有 CRL 地址，没有 OCSP 地址。
- **内嵌 SCT**：证书已写入[证书透明度](https://ssl.sh/zh/glossary/certificate-transparency/)日志的凭证，带日志时间。
- **SHA-256 指纹 / SPKI pin**：分别标识证书和它的公钥。用同一私钥续期时，SPKI 哈希不变。

## 检查证书链

站点证书在前，中间证书在后，一起粘贴。工具会检查每张证书的签发者名称是否与下一张的主体一致，并用下一张的公钥验证签名。出现警告说明顺序错误或链不完整，可以用[证书链补全工具](https://ssl.sh/zh/tools/chain-builder/)拿到正确的链。

要看 CSR，用 [CSR 解析](https://ssl.sh/zh/tools/csr-decoder/)；要转换格式，用[证书格式转换](https://ssl.sh/zh/tools/ssl-converter/)。


## FAQ

**把证书粘贴到这里安全吗？**

安全。证书本来就是公开的，服务器会发给每个访客；而且解析在本地运行，不会上传。但不要把私钥粘贴到不信任的工具里。

**怎么区分 DV、OV、EV 证书？**

看证书策略。CA/B 论坛的策略 OID 标明了验证级别：2.23.140.1.2.1 是 DV，2.23.140.1.2.2 是 OV，2.23.140.1.1 是 EV，工具会用徽标直接标出来。

**提示“不是由下一张证书签发”是什么意思？**

证书链里每一张都应该由它后面那张签发。不是的话，说明顺序错了或者缺了中间证书。服务器必须先发站点证书，再依次发签发者，用证书链补全工具可以得到正确顺序。

**能解析 .cer、.crt 文件吗？**

能。这两个扩展名既可能是 PEM 文本也可能是 DER 二进制，工具会自动识别。