Cách dùng Giải mã chứng chỉ SSL
- Dán chứng chỉ (
-----BEGIN CERTIFICATE-----) hoặc cả chuỗi, hoặc mở file.pem,.crt,.cerhay.der. - Xem trạng thái hiệu lực, chủ thể, nhà phát hành và Subject Alternative Names.
- Kiểm tra phần mở rộng và vân tay để gỡ lỗi chi tiết hơn.
Ý nghĩa của các trường
| Trường | Ý nghĩa |
|---|---|
| Subject | Chứng chỉ được cấp cho ai. Với TLS, CN chỉ mang tính tham khảo, trình duyệt chỉ dùng SAN. |
| Subject Alternative Names | Các tên miền và IP mà chứng chỉ có hiệu lực. Ký tự đại diện như *.example.com bao phủ một cấp subdomain. |
| Issuer | Tổ chức cấp chứng chỉ đã ký nó. Nếu Subject trùng Issuer thì đây là chứng chỉ tự ký. |
| Validity | Ngày bắt đầu và ngày hết hạn. Chứng chỉ TLS công khai tối đa 398 ngày, sẽ giảm dần xuống còn 47 ngày vào năm 2029. |
| Basic Constraints | Cho biết đây có phải chứng chỉ CA, tức là có quyền ký các chứng chỉ khác hay không. |
| Key Usage / Extended Key Usage | Khóa được phép dùng để làm gì: xác thực máy chủ TLS, xác thực client, ký mã… |
| Fingerprint | Giá trị băm của toàn bộ chứng chỉ, dùng để ghim (pinning) và so sánh chứng chỉ. |
Gỡ lỗi các lỗi TLS thường gặp
- Sai tên miền: hostname không có trong danh sách SAN.
- Hết hạn / chưa có hiệu lực: kiểm tra ngày tháng và đồng hồ của máy chủ.
- Chuỗi chứng chỉ chưa đầy đủ: hãy dán toàn bộ chuỗi mà máy chủ gửi; Subject của chứng chỉ trung gian phải khớp với Issuer của chứng chỉ lá.
- Chữ ký yếu: chữ ký SHA-1 hoặc MD5 bị các client hiện đại từ chối.
PEM và DER
DER là dạng mã hóa nhị phân của chứng chỉ; PEM là cùng dữ liệu đó được mã hóa Base64, nằm giữa các dòng BEGIN và END. Công cụ này mở được cả hai. Việc giải mã diễn ra cục bộ: chứng chỉ là thông tin công khai, nhưng nếu lỡ dán khóa riêng tư, công cụ sẽ phát hiện và bỏ qua.
Để kiểm tra chứng chỉ mà một website đang dùng, hãy dùng SSL checker. Với yêu cầu ký (CSR), hãy dùng CSR decoder.
Cũng được tìm dưới tên: decode ssl certificate, pem decoder, x509 decoder, xem chi tiết chứng chỉ ssl, đọc file crt, giải mã x509 online, kiểm tra chứng chỉ pem.
Các công cụ dùng kèm tốt với Giải mã chứng chỉ SSL
- Công cụ tạo khóa RSA — Tạo cặp khóa công khai/riêng tư để ký JWT, kiểm thử TLS, thử nghiệm mã hóa hoặc dùng cho SSH.
- Kiểm tra Security Headers — Chấm điểm security headers HTTP của website từ A+ đến F, xem header nào đang thiếu và vì sao chúng quan trọng, rồi sao chép đoạn cấu hình sẵn cho Nginx, Apache, Netlify, Vercel hoặc Cloudflare.
- Tạo mã Hash — Tính mã hash MD5 và SHA cho mọi văn bản hoặc file ngay lập tức, tạo chữ ký HMAC và dán checksum mong đợi để kiểm tra file tải về.
- Giải mã JWT — Dán JSON Web Token vào đây để xem header và payload, kiểm tra thời điểm hết hạn và xác minh chữ ký.
Câu hỏi thường gặp
Làm sao để lấy chứng chỉ của một website dưới dạng PEM?
Chạy
openssl s_client -connect example.com:443 -showcerts, hoặc xuất từ menu biểu tượng ổ khóa trên trình duyệt. Để kiểm tra trực tiếp một trang đang chạy, hãy dùng SSL checker.Tôi có thể giải mã cả chuỗi chứng chỉ không?
Có. Dán tất cả chứng chỉ cùng lúc, mỗi chứng chỉ sẽ được giải mã theo thứ tự.
Vì sao chỉ có Common Name thì không đủ?
Trình duyệt đã bỏ qua CN từ nhiều năm nay và chỉ đối chiếu hostname với Subject Alternative Names.
Chứng chỉ của tôi có bị tải lên không?
Không. Chứng chỉ được phân tích ngay trên trình duyệt của bạn.
Tôi có thể cài Giải mã chứng chỉ SSL như một ứng dụng web và dùng khi không có mạng không?
Có. Giải mã chứng chỉ SSL là một ứng dụng web (PWA) có thể cài đặt — cài trực tiếp từ trình duyệt, không cần tải từ cửa hàng ứng dụng. Trên Chrome hoặc Edge (Windows, macOS, Linux, ChromeOS) hoặc Android, bấm Cài đặt ứng dụng ở đầu trang này; trên iPhone và iPad, dùng Chia sẻ → Thêm vào Màn hình chính; trên Mac, dùng File → Add to Dock trong Safari 17 trở lên. Sau đó ứng dụng mở trong cửa sổ riêng với biểu tượng riêng, và vì chạy hoàn toàn trên trình duyệt nên vẫn hoạt động khi không có mạng. Firefox trên máy tính không thể cài ứng dụng web. Cách cài đặt hoạt động thế nào.