Validador de Firmas de Certificados SSL CSR Decode Online: Sujeto, SAN y Firma sin Subir tus Datos

Qué es y para quién

El validador y decodificador de CSR y certificados SSL toma un bloque PEM —BEGIN CERTIFICATE REQUEST o BEGIN CERTIFICATE— y lo desmonta con la librería criptográfica PKI.js: sujeto completo (CN, organización, país, localidad), algoritmo de firma, algoritmo y tamaño de la clave pública, nombres alternativos (SAN) y, en certificados, emisor, número de serie y periodo de validez. En los CSR además verifica la autofirma: la prueba criptográfica de que el CSR no ha sido alterado y de que quien lo generó posee la clave privada.

Lo usan administradores de sistemas que emiten certificados, desarrolladores que automatizan renovaciones y cualquiera que quiera comprobar qué va a firmar una CA antes de pagarla.

Cómo se usa

Pega el bloque PEM completo y pulsa «Decodificar y verificar firma». Si no tienes uno a mano, el botón «Cargar un CSR de ejemplo» rellena una solicitud real generada para esta página, para que veas el resultado antes de usar la tuya. La decodificación ocurre en tu navegador: el contenido no se envía a ningún servidor; solo se descarga la librería desde su CDN.

Ejemplo resuelto

El CSR de ejemplo se decodifica así: sujeto CN = www.ejemplo.es, O = Ejemplo SL, L = Madrid, ST = Madrid, C = ES; algoritmo de firma SHA256 con RSA; clave pública RSA de 2048 bits; y tres nombres alternativos solicitados: los DNS www.ejemplo.es y ejemplo.es y el correo info@ejemplo.es. La verificación de la autofirma devuelve válida: el documento es íntegro. Si cambiaras a mano una sola letra del dominio dentro del bloque codificado, la decodificación podría seguir mostrando datos, pero la firma dejaría de verificar, que es exactamente el control que hace la CA al recibirlo.

Casos de uso

• Antes de enviar un CSR: confirma que el CN, la organización y los SAN son los contratados; rehacer un certificado emitido ya cuesta dinero.
• Renovaciones: compara el certificado actual con el nuevo y detecta SAN olvidados.
• Soporte: cuando una CA rechaza una solicitud, ver el contenido decodificado aclara si el problema es de formato o de datos.
• Auditoría rápida: revisa algoritmo y tamaño de clave de certificados en producción sin instalar herramientas.

Limitaciones y consejos

Decodificar no es lo mismo que confiar: esta herramienta muestra el contenido y verifica la autofirma del CSR (y la de certificados autofirmados), pero no comprueba la cadena de confianza de un certificado de CA, ni su estado de revocación (CRL/OCSP), ni que el dominio sea tuyo. Nunca pegues una clave privada en ninguna web, tampoco en esta: un CSR y un certificado son públicos por diseño, la clave no. Si la librería del CDN no puede cargarse, verás un aviso en español y no se procesará nada.

Preguntas frecuentes

¿Qué comprueba exactamente la verificación de firma del CSR?

Que el contenido del CSR no ha cambiado desde que se firmó con la clave privada correspondiente a la clave pública incluida. Es la garantía de integridad y de posesión de la clave que exige el estándar PKCS#10.

¿Puedo decodificar también la clave privada?

No, y no debes: la herramienta está pensada para CSR y certificados. Si tu fichero dice BEGIN PRIVATE KEY, guárdalo y no lo pegues en ninguna página.

El certificado de mi web ¿por qué no verifica la firma aquí?

Porque su firma la hizo la CA emisora, y verificarla requiere el certificado de esa CA. La herramienta lo indica y aun así decodifica todos los campos y comprueba las fechas de validez.

¿Qué significa que el algoritmo sea SHA1 con RSA?

Que el documento se firmó con una función resumen obsoleta y vulnerable a colisiones. Las CA ya no emiten con SHA1; si lo ves en un certificado antiguo, toca renovar con SHA256 o superior.