SSL 証明書デコーダー — ブラウザで PEM 形式の SSL 証明書をデコード
PEM エンコードされた SSL/TLS 証明書をデコード。issuer、subject、有効期間、SAN、公開鍵の詳細とフィンガープリントを確認——アップロード不要、サーバー不要。
SSL Certificate Decoder
Decode PEM SSL certificates — view issuer, subject, validity. No uploads — your certificates never leave your device. Works entirely in your browser.
X.509 証明書はインターネットの ID レイヤーです。すべての HTTPS 接続は TLS ハンドシェイクから始まり、サーバーは自身の ID を証明する証明書を提示し、ブラウザも API クライアントもモバイルアプリも、アプリケーションのデータを 1 バイトでも送る前に信頼されたルートストアに対してその証明書を検証します。証明書本体はバイナリの ASN.1 構造ですが、開発者が日常的に扱う形式は PEM——ヘッダとフッタの行で囲まれた Base64 エンコードのブロック——です。なぜなら PEM は Web サーバー、ロードバランサ、認証局の間でやりとりされる形式だからです。PEM を構造化されたフィールドにデコードし直すことは、あらゆる TLS 問題をデバッグする第一歩です——証明書の期限切れ、ホスト名の不一致、チェーン内の不足した中間証明書、あるいは現在のセキュリティ要件に対して短すぎる公開鍵、といった問題を扱う出発点になります。
SSL 証明書デコーダーは PEM を解析し、DER エンコードされた ASN.1 構造を展開して、X.509 規格が定義するすべてのフィールドを抽出します。具体的には、subject と issuer の識別名（DN）、人間が読める形式の有効期間、シリアル番号、公開鍵アルゴリズムとビット長、署名アルゴリズム、そしてブラウザが URL のホスト名と照合する Subject Alternative Name（SAN）です。フィンガープリントは生の DER バイト列からローカルで計算され、ブラウザの証明書ビューアに表示される値と一致します。期限切れの証明書は有効期間セクションで赤くハイライトされるため、「なぜこのサイトは証明書エラーを出しているの？」という最もよくあるデバッグの疑問に即座に答えが出ます。
このデコーダーは issuer の署名を検証せず、失効ステータスも確認しません——これらの操作には発行元 CA と OCSP レスポンダーへのネットワークアクセスが必要であり、クライアントサイドのツールがこれを行えば証明書を漏洩させてしまいます。完全な検証については、プラットフォーム注記に記載されている openssl verify コマンドを参照してください。すでに手元にある証明書——メールから、設定ファイルから、クリップボードの貼り付けから得たもの——を確認するには、ターミナルを開かずに構造化されたビューを提供してくれるこのデコーダーが適しています。
使い方
PEM 証明書を貼り付ける
`-----BEGIN CERTIFICATE-----` と `-----END CERTIFICATE-----` の間の Base64 ブロックを貼り付けます。デコーダーは ASN.1 DER 構造を解析し、X.509 規格のすべてのフィールドを抽出します。
証明書の詳細を確認する
デコード後のビューには、Subject、Issuer、有効期間（Not Before / Not After）、シリアル番号、公開鍵アルゴリズムとビット長、署名アルゴリズム、そしてすべての Subject Alternative Name（SAN）がフラットなリストで表示されます。
フィンガープリントを照合する
SHA-256 と SHA-1 のフィンガープリントは DER バイト列からローカルで計算されます。SHA-256 フィンガープリントはブラウザの証明書ビューアに表示される値と一致します——貼り付けて、受け取った証明書が発行者が公開したものと一致するかを検証できます。
よくある質問
このツールは証明書チェーンを検証しますか？
いいえ。デコードは証明書の内容を読み取るだけで、署名の検証や issuer チェーンの確認は行いません。検証には issuer の公開鍵とルート CA トラストストアが必要ですが、これらはクライアントサイドのツールでは利用できません。チェーン検証には `openssl verify` を使用してください。
公開鍵について何がわかりますか？
アルゴリズム（RSA、EC、Ed25519）、鍵長ビット数（RSA は 2048、4096、EC は 256、384）、EC 鍵の曲線名（P-256、P-384）、および公開鍵の生バイト列の 16 進表現が表示されます。証明書に秘密鍵の情報が含まれることは決してありません。
PEM バンドルに含まれる証明書チェーン全体をデコードできますか？
はい——複数の `-----BEGIN CERTIFICATE-----` ブロックを含む PEM ファイルを貼り付けると、各証明書が個別にデコードされます。バンドルビューにはチェーンの順序が表示され、エンドエンティティ（リーフ）証明書と中間証明書のどちらがどれであるかがハイライトされます。
DER エンコードされた証明書には対応していますか？
このツールは PEM のみ受け付けます。DER 証明書をデコードするには、まず `openssl x509 -inform der -in cert.der -out cert.pem` で PEM に変換するか、付属の Base64 エンコードツールを使って DER バイト列を PEM のヘッダ／フッタで囲んでください。
制限事項
- 署名検証は行わないデコードは証明書のフィールドを読み取るだけで、issuer の署名を暗号学的に検証しません。検証には、コマンドラインで `openssl verify -CAfile ca.pem cert.pem` を使用してください。
- 失効ステータスを確認しないCRL と OCSP のステータスは確認されません。有効に見える証明書でも失効している可能性があります。失効ステータスは `openssl ocsp` またはブラウザの証明書ビューアで確認してください。
- 拡張の解析は限定的標準の X.509v3 拡張（SAN、Basic Constraints、Key Usage、Extended Key Usage）は完全にデコードされます。独自拡張やマイナーな拡張は、OID ラベル付きで 16 進ダンプとして表示されます。
プラットフォーム別の注意点
- macOS
- macOS の「キーチェーンアクセス」アプリは証明書詳細を GUI で表示します。スクリプト用の ASN.1 生フィールド値が必要な場合や、PEM テキストしか手元にない場合でキーチェーンにインポートしたくないときには、このツールを使ってください。
- Linux
- 同等の CLI コマンドは `openssl x509 -in cert.pem -text -noout` です。OpenSSL がインストールされていないマシンを使っているときや、ターミナル出力をスクロールせずに整形されたビューを見たいときには、ブラウザ版ツールが適しています。
- Web
- JavaScript による ASN.1 解析で完全にクライアントサイドで動作します。証明書がブラウザから外部に出ることは一切ないため、機密性の高い内部証明書の確認に便利です。