TLS証明書ビューア

サーバ証明書（リーフ）は、中間CA証明書によって署名され、中間CAはルートCAによって署名されます。この「リーフ → 中間 → ルート」の連なりがチェーンです。ブラウザはOS/ブラウザに同梱されたルートCAまで辿れて初めて証明書を信頼します。サーバは通常リーフと中間を送信し、ルートはクライアント側が保持します。

Subjectは証明書の持ち主、Issuerは署名した発行者（CA）を表します。CN(Common Name)、O(組織)、C(国)などのDN属性で構成されます。リーフ証明書ではSubjectがサーバの識別子、Issuerが中間CAになります。ルート証明書はSubjectとIssuerが一致（自己署名）します。

その証明書が有効なホスト名（DNS名）やIPアドレスの一覧です。現代のブラウザはCNではなくSANを見て、アクセス先ホストと一致するか検証します。ワイルドカード *.example.com は1階層のサブドメインにマッチします。

証明書が有効な期間です。Not Beforeより前、またはNot Afterより後では無効になります。公的なTLS証明書の最大有効期間は近年短縮が進み、現在は概ね398日以内です。

公開鍵はRSA（2048/4096bit）またはECDSA（P-256/P-384）が一般的です。署名アルゴリズムは発行者がこの証明書に署名した方式で、SHA-256以上が必須です（SHA-1は危殆化のため非推奨）。

証明書のDERバイト列全体のハッシュ値です。同一性の確認やピン留め（証明書ピンニング）、crt.shでの検索キーに使われます。SHA-256が現在の標準です。

crt.shは、世界中のCAが発行した証明書を記録する公開ログ（Certificate Transparency）を検索できるサイトです。あるドメインに対して発行された全証明書を確認でき、不正発行の検知に役立ちます。

証明書のAIA拡張には、発行者（上位CA）の証明書を取得できるURL（CA Issuers）と、失効状態を確認するOCSPのURLが書かれています。CA IssuersのURLを開くと発行者証明書がダウンロードでき、それをこのツールに貼り付ければチェーンを上へ辿れます（自己署名のルート証明書にはAIAは通常ありません）。なお、ブラウザから直接これらのURLを取りに行く自動取得はCORS制限で多くの場合ブロックされるため、本ツールではリンク表示にとどめています。