证书格式转换与解析

PEM 与 DER 互转，同时解析证书的版本、序列号、签名算法和有效期，本地处理不上传。

粘贴 PEM 证书内容，或十六进制 DER 字节

输出格式

证书解析在浏览器本地完成，私钥和证书内容都不会上传。解析范围为基础结构、序列号、签名算法和有效期，不含扩展项明细。

PEM 和 DER 的关系

两者编码的是同一份数据，只是外层形式不同。DER 是二进制编码，紧凑但不可直接阅读；PEM 把 DER 字节做 Base64 编码，再套上 -----BEGIN XXX----- 和对应的结束行，方便在文本协议里传输和复制。

常见文件后缀和内容的对应关系容易混淆：.crt、.cer 既可能是 PEM 也可能是 DER，取决于是否含 Base64 头尾；.pem 通常是文本；.der 是二进制；.pfx、.p12 是包含证书和私钥的加密容器，需要口令才能解开，不属于单纯的格式转换范畴。

Nginx 配置的 ssl_certificate 必须是 PEM 格式，如果给了 DER 文件会直接启动失败。另外证书链的顺序也常出错：应把站点证书放最前，中间证书依次跟在后面，根证书一般不需要配置。顺序反了浏览器可能仍然能建立连接，但部分客户端和移动端会报证书链不完整。

转换不会改变证书内容，但会暴露原始文件的问题。转换后建议确认三件事：证书是否在有效期内、签名算法是否为 SHA1 这类已被淘汰的算法、密钥长度是否满足当前要求。这三点直接影响浏览器是否信任。

后缀	编码	是否含私钥	说明
.pem	Base64 文本	可能	通用容器，头尾标识决定内容类型
.crt / .cer	PEM 或 DER	否	后缀不区分编码，需看内容判断
.der	二进制	否	紧凑格式，适合程序处理
.key	PEM 或 DER	是	私钥文件，权限应严格限制
.pfx / .p12	二进制容器	是	含证书与私钥，需口令解密
.csr	PEM 或 DER	否	证书签名请求，用于申请证书

PEM 和 DER 需要转换吗？▼

看使用方要求。Nginx、Apache 一般用 PEM；部分 Java 应用、Windows 导入和嵌入式设备用 DER。同一份证书的两种编码内容完全一致，转换不改变任何字段。

pfx 文件能在这里转换吗？▼

不能。pfx 是带口令的二进制容器，内含证书和私钥，需要先解密才能取出证书。本工具只处理单个证书的 PEM 与 DER 互转，请先用 openssl 把 pfx 拆出证书。

转换后提示结构解析未成功是怎么回事？▼

说明字节流不是完整的 X.509 证书。常见原因有三种：粘贴时漏了部分 Base64 行、内容实际是证书签名请求或公钥、文件本身已损坏。可以先确认首行标识是 CERTIFICATE 还是 REQUEST。

剩余天数多少天该续期？▼

建议在剩余 30 天时启动续期流程，留出审核和部署时间。免费证书通常 90 天有效，需要自动化续期；付费证书一年期，提前一个月准备。本工具会用颜色标注 30 天以内的证书。

签名算法显示 SHA1-RSA 要紧吗？▼

要紧。SHA1 已被证明可构造碰撞，主流浏览器对 SHA1 签名的证书会直接提示不安全。应尽快更换为 SHA256 或 ECDSA 签名的证书。