PEM・DER・P7B・PFXの準備と、証明書の有効期限・SANの読み方

証明書は読みやすいPEMテキストだけでなく、バイナリや複数証明書を含むファイルで届くこともあります。受け取った形式に合わせて公開証明書を用意し、配置や更新の判断に必要な項目を読んでいきます。

受け取った形式に合わせて入力する

PEMはBEGIN CERTIFICATEとEND CERTIFICATEを含むブロック全体を貼り付けます。DERはバイナリなので、テキストへコピーせずファイルをアップロードします。P7B/PKCS#7には複数の証明書が含まれる場合があり、このツールでは最大20件を入力順に表示します。その順番だけでは信頼チェーンの正しさは分かりません。

秘密鍵を手元に残して公開証明書を取り出す

PFX/P12には秘密鍵と証明書が含まれる場合があります。このデコーダーの解析はサーバーで行うため、機密性のあるファイルは手元のOpenSSLで公開証明書だけを取り出し、出力されたCERTIFICATEブロックだけを入力してください。以下は秘密鍵を出力しないコマンドです。パスワードは対話入力し、コマンド行に直接書かずに実行できます。

openssl pkcs12 -in bundle.pfx -nokeys -out certificates.pem

DERやP7Bを手元でPEMへ変換する

あらかじめPEMに変換したい場合は、元ファイルの形式に合うコマンドを使えます。バイナリのP7Bは-inform DER、PEMのPKCS#7は-inform PEMを指定します。.cerや.crtという拡張子だけでは、中身がPEMかDERかは判断できません。

openssl x509 -inform DER -in certificate.cer -out certificate.pem
openssl pkcs7 -inform DER -in bundle.p7b -print_certs -out certificates.pem

有効期限とホスト名を照合する

有効開始と有効期限が証明書の有効期間です。このツールではブラウザーの現地時刻で表示します。更新予定日と有効期限を比べ、SANは利用するホスト名やIPアドレスと照合します。例えばwww.example.comの記載だけではapi.example.comまで含まれません。SANを読むだけでTLSのホスト名検証全体を実行したことにはなりません。

発行者とSHA-256拇印を比べる

発行者は、OCSP照会に必要なCA証明書を探す手がかりになります。SHA-256拇印は同じ証明書かを識別する値なので、信頼できる配置記録と比べると、受領したファイルが予定どおりかを調べられます。更新後は拇印が変わるため、異なる場合は有効期間と発行者も併せて見ます。

解析できない場合

CSRや秘密鍵ではなく証明書を入力しているか、PEMの先頭と末尾がそろっているかを確認します。ファイルを選択していると貼り付けテキストより優先されるため、貼り付けで試す際はファイル選択を解除してください。入力は1MBまでです。PFX/P12はパスワードを確認するか、公開証明書を手元で取り出せます。解析成功だけでは署名・信頼チェーン・ホスト名・失効状態は検証されません。

証明書デコーダーを開く