キーストア解析

Keystore Inspector

PKCS#12・JKS・PEMの束を開き、中に入っている証明書・チェーン・鍵のアルゴリズムを並べます。

運用チームから渡された`.p12`は中身が見えません。何が入っているのか、チェーンが完結しているのか、リーフ証明書がいつ切れるのかは、コマンドラインと正しいオプションなしには分かりません。ここではPKCS#12・JKS・PEMの束を開き、中に入っているものを並べます。

🔒 ブラウザの中だけで動きますkeystorepkcs12certificateinspect

証明書は、このページ自身の ASN.1 リーダーがこのタブの中でデコードします。アップロードはありません。そこが要点です。CSR も、社内の CA も、うっかり貼り付けた鍵も、他人のサーバーに送って読ませてよいものではありません。

証明書・束・CSR・公開鍵を置いてください

PEM でも DER でも — .pem、.crt、.cer、.der、.csr、または authorized_keys の一行。下に貼り付けても構いません。

…またはここに貼り付けこのホストを含むか確認ワイルドカードも含めて、サブジェクト代替名 (SAN) と照合します。

この道具がしないこと

署名を検証しません。上の「発行者」は名前の一致であって証明ではありません。自分で作った証明書には、どんな発行者名でも書けます。
どの認証局を信頼しているかは知りません。それは OS とブラウザの中にあり、ウェブページからは読めません。
失効を確認しません。ご自分で確かめられるよう OCSP と CRL のアドレスは表示しますが、そこへ問い合わせるのは、この道具があえて行わないネットワーク通信です。

実際のサーバーが何を返しているか — チェーンの順序、プロトコルの版、期限 — を見るには、そのサーバーへの接続が要ります。SSL 点検ツールがその問いに答えます。

使い方

束を置きます
`.p12`／`.pfx`、`.jks`、PEMのいずれも読みます。パスワードで保護されたストアの鍵の部分を開くにはパスワードが要りますが、証明書の部分はそれなしでも読めることがよくあります。
リーフだけでなくチェーンを確かめます
証明書ごとに、サブジェクト、発行者、有効期間、鍵のアルゴリズムを表示します。自分の端末では入るのにサーバーで失敗する束は、たいてい中間証明書が1枚足りていません。
鍵が証明書と対応しているか確かめます
リーフの中の公開鍵と、ストアの中の秘密鍵は対応しているはずです。対応していないことは、一見有効な束が通信を捌けないもうひとつのよくある理由です。