SITIO EN CONSTRUCCIÓN. Todo se ofrece TAL CUAL y SIN GARANTÍAS, en la medida en que la ley lo permita. Es información, no asesoría profesional. Úsalo bajo tu propia responsabilidad. Términos y límites de responsabilidad →

eThorns EN
Menú
Invítanos un caféEnglisheThorns 2026 · Hecho en Colombia
← Seguridad y privacidadEN

Herramienta 1.10

Decodificador de certificados SSL/TLS (X.509 PEM)

Pega un certificado PEM y lee su titular, emisor, fechas de validez, SANs, tipo y tamaño de clave, y sus huellas SHA-256 y SHA-1. Se decodifica en tu navegador.

Funciona en tu equipoFunciona completa en tu navegador: nada de lo que escribes o subes sale de tu equipo.

Revisión automática; no garantiza seguridad.

Cómo usarla

  1. Abre el archivo del certificado (`.crt`, `.pem` o `.cer`) en un editor de texto y copia todo el bloque, con las líneas `-----BEGIN CERTIFICATE-----` y `-----END CERTIFICATE-----`. También sirve solo el texto en base64.
  2. Pégalo en el recuadro y presiona Decodificar certificado. Se decodifica en tu navegador; no se envía nada.
  3. Mira primero las fechas y después los nombres de la tabla de nombres alternativos (SANs), la clave y las huellas.

Revisar el archivo del certificado antes de instalarlo

Lo normal es decodificar un certificado para confirmar que tienes el archivo correcto antes de instalarlo: que es el que se emitió para tu dominio y no el certificado intermedio que viene en el mismo paquete, que cubre todos los nombres que necesitas (www, subdominios) y cuándo vence. Un archivo PEM es un bloque de texto en base64, así que nada de eso se ve a simple vista.

El decodificador lee la estructura X.509 (el formato que define el RFC 5280) y muestra el titular, el emisor, las fechas de validez, el tipo y tamaño de la clave pública, el algoritmo de firma, el número de serie, los SANs y las huellas SHA-256 y SHA-1. Si pegas una cadena completa, solo se decodifica el primer certificado.

Cómo leer el resultado: el certificado de tubanco.co

Imagina que pegas el certificado emitido para tubanco.co. Arriba, en verde, dice Válido (vence en 184 días), con las fechas de inicio y fin debajo. Cuando le quedan 30 días o menos el recuadro se pone ámbar, y rojo cuando ya venció. Titular (Subject) dice para quién es el certificado, por ejemplo C=CO, L=Bogota, O=Tu Banco S.A., CN=tubanco.co, en el orden en que lo guarda el certificado. Emisor (Issuer) muestra la autoridad certificadora que lo firmó.

Clave pública muestra RSA 2048-bit o, si la clave es de curva elíptica, algo como ECDSA P-256 (secp256r1) (256-bit). La tabla de SANs trae todos los nombres que cubre el certificado, por ejemplo tubanco.co, www.tubanco.co y bancavirtual.tubanco.co. Si alguien entra por un nombre que no está en esa lista, el navegador muestra una advertencia, aunque sea del mismo dominio. La huella SHA-256 es la que comparas con la que muestra tu autoridad certificadora o el panel del hosting, para confirmar que se trata del mismo certificado.

Lo que el decodificador no revisa

Lee el certificado que pegas y nada más. No comprueba que de verdad lo haya firmado una autoridad de confianza, que no esté revocado ni que tu servidor lo envíe junto con su certificado intermedio, y un certificado autofirmado se decodifica igual que cualquier otro. Para ver lo que reciben los navegadores de un sitio en vivo, usa el verificador de certificados SSL, que se conecta al dominio.

Tampoco puede saber si el certificado corresponde a tu clave privada. Esa clave (el archivo .key) nunca se debe pegar en una página web; los comandos de OpenSSL de las preguntas de abajo comparan los dos en tu propio computador.

Preguntas frecuentes

¿Qué diferencia hay entre PEM, DER, CRT y CER?

DER es el certificado en binario. PEM son esos mismos bytes escritos como texto en base64 entre las líneas `-----BEGIN CERTIFICATE-----` y `-----END CERTIFICATE-----`. `.crt` y `.cer` son solo extensiones: por dentro el archivo puede estar en PEM o en DER. Esta página lee texto PEM; para decodificar un archivo DER binario, conviértelo primero con `openssl x509 -inform der -in cert.cer -out cert.pem`.

¿Por qué los navegadores ignoran el nombre común (CN)?

Las versiones actuales de Chrome, Firefox y Safari comparan el nombre que visitas solo con los nombres alternativos (SANs). El CN sigue ahí por compatibilidad con programas viejos, pero un nombre que solo aparece en el CN recibe una advertencia. Si tu dominio no está en la tabla de SANs, hay que volver a emitir el certificado con él.

¿Cómo compruebo que un certificado corresponde a mi clave privada?

Compara sus claves públicas en tu computador con OpenSSL: `openssl x509 -in cert.crt -noout -pubkey | openssl sha256` y `openssl pkey -in server.key -pubout | openssl sha256`. Si las dos líneas dan el mismo resumen, el certificado y la clave van juntos. Sirve para claves RSA y de curva elíptica.

¿Qué es la huella digital (fingerprint o thumbprint) de un certificado?

Un resumen (hash) de todo el certificado en su forma binaria (DER). El decodificador la muestra con SHA-256 y SHA-1. Dos archivos con la misma huella tienen el mismo certificado, así que es una forma rápida de confirmar que el archivo que tienes es el que está instalado en un servidor o el que aparece en un panel. Windows la llama thumbprint y suele mostrar la de SHA-1.

¿Es seguro pegar aquí el certificado de mi empresa?

Un certificado es público: tu servidor se lo envía a cada visitante. Además, esta página lo decodifica en tu navegador sin enviarlo a ningún lado. Lo que nunca debes pegar en ningún sitio web es la clave privada.

  • 1.1¿Es una estafa?Pega el mensaje o enlace que te llegó y mira sus señales de alerta: imitación de marcas, dominios nuevos, enlaces acortados, frases de estafa.
  • 1.2¿Te estafaron o hackearon?Pasos para las primeras horas después de una estafa o un hackeo: un link falso, un código que diste, el WhatsApp robado, plata enviada.
  • 1.3¿Es seguro este archivo?Mira qué es en realidad un archivo de WhatsApp o del correo y qué trucos trae: programas disfrazados, macros, PDF con scripts, apps que leen SMS.
  • 1.4Expandir enlaces cortosMira a dónde lleva realmente un enlace corto (bit.ly, t.co, tinyurl…) antes de abrirlo: cada redirección, la URL final y señales de alerta.
  • 1.5Escaneo de seguridad webRevisión pasiva de la página de inicio de un sitio: HTTPS, certificado TLS, HSTS, CSP, clickjacking, cookies y security.txt, con nota y correcciones.
  • 1.6Verificar certificado SSLRevisa el certificado SSL/TLS de cualquier sitio: si es válido, cuándo vence, quién lo emitió, qué nombres cubre y qué versión de TLS usa.
  • 1.7Detector de dominios falsosRevisa si un enlace o dominio imita a otro: letras de otros alfabetos, números por letras, un dominio real escondido.
  • 1.8Edad de un dominioMira cuándo se registró un dominio, cuándo vence, su registrador y sus DNS.
  • 1.9Generador de contraseñasContraseñas aleatorias (8 a 128 caracteres) o frases de contraseña, creadas en tu navegador con su generador criptográfico.
  • 1.11¿Contraseña filtrada?Revisa si una contraseña aparece en filtraciones de datos sin enviarla: con k-anonimato solo salen de tu dispositivo 5 caracteres de su hash.
  • 1.12Limpiador de enlacesQuita utm_, fbclid, gclid, si y otros parámetros de rastreo de los enlaces antes de compartirlos.
  • 1.13Marca de agua para tu cédulaEscribe para quién es la copia de tu cédula, y la fecha, sobre toda la foto o el PDF, y descarga una copia más pequeña y sin datos de la foto.
  • 1.14Cifrar textoCifra y descifra mensajes o notas con contraseña (AES-256-GCM) en tu navegador.

╌╌ FIN ╌╌