Verificador de Correspondência de Certificado e Chave

O Comparador de Certificado e Chave confirma se o seu certificado SSL, a sua chave privada e o CSR pertencem ao mesmo par de chaves. Cole ou carregue quaisquer dois dos ficheiros, ou os três, para obter um resultado instantâneo. Funciona inteiramente no seu dispositivo, pelo que a sua chave privada nunca sai da sua máquina.

Como Verificar se um Certificado e uma Chave Privada Correspondem

Cole o seu certificado na primeira caixa, a sua chave privada na segunda e o seu CSR na terceira, caso o tenha. A correspondência é feita automaticamente enquanto escreve, ou pode premir “Check match” assim que os campos estiverem preenchidos. Os botões de carregamento aceitam os ficheiros diretamente, caso prefira não copiar e colar.

Os resultados são apresentados em três veredictos:

1. Certificado em relação à chave privada
2. CSR em relação ao certificado
3. CSR em relação à chave privada

Uma correspondência verde no par que lhe interessa significa que esses ficheiros foram criados em conjunto. Execute a verificação antes de instalar o certificado, uma vez que um emparelhamento incorreto é uma causa comum de falhas na instalação.

---

O Que o Comparador Compara

Dois ficheiros pertencem-se mutuamente quando partilham a mesma chave pública. O seu certificado, o seu CSR e a sua chave privada contêm todos essa chave pública, pelo que compará-la comprova se provêm do mesmo par de chaves.

O comparador lê a chave pública de cada ficheiro e gera uma impressão digital SHA-256 dessa chave, o SubjectPublicKeyInfo (SPKI). Impressões digitais idênticas significam chaves públicas idênticas, o que significa um par real. Cada painel apresenta a impressão digital, para que possa comparar os valores por si mesmo ou copiá-los.

---

Comparar um Certificado, uma Chave e um CSR com o OpenSSL

Prefere a linha de comandos? Execute cada ficheiro através do OpenSSL e compare o resultado. Os três comandos abaixo imprimem a impressão digital SHA-256 da chave pública, o mesmo valor que a ferramenta acima compara:

openssl x509 -in certificate.crt -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

openssl pkey -in private.key -pubout -outform der | openssl dgst -sha256

openssl req -in request.csr -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

Quando as impressões digitais coincidem, os ficheiros partilham um par de chaves. Se apenas uma delas for diferente, existe uma incompatibilidade.

Mais verificações com OpenSSL para os mesmos ficheiros encontram-se no nosso guia sobre como verificar um certificado com o OpenSSL.

---

Chaves RSA e ECC

O método da impressão digital funciona quer o seu certificado utilize uma chave RSA ou ECC, uma vez que todos os certificados contêm uma chave pública para comparação. O comparador deteta o tipo automaticamente e identifica-o, por exemplo RSA 2048, junto a cada resultado.

A comparação de módulo é exclusiva do RSA. As chaves ECC não têm módulo, pelo que um comando como openssl rsa -modulus devolve um erro em vez de um hash.

A trabalhar com um certificado ECC? Compare a impressão digital da chave pública, que é exatamente o que a ferramenta faz por si.

---

Quando o Certificado e a Chave Privada Não Correspondem

Um resultado de não correspondência significa que os ficheiros provêm de pares de chaves diferentes. Frequentemente, a chave privada foi gerada por uma ferramenta externa e nunca foi transferida para o servidor, ou um painel de controlo como o cPanel ou o Plesk reutilizou uma chave antiga de uma encomenda anterior. Reemitir um certificado com uma nova chave enquanto a original ainda se encontra no servidor causa o mesmo conflito.

Para corrigir o problema, localize a chave privada criada com o seu CSR, geralmente um ficheiro .key no diretório de configuração do seu servidor. Se já não existir, gere um novo CSR e um novo par de chaves, e depois reemita o certificado para que a autoridade certificadora emita um que corresponda à sua nova chave. Uma chave privada não pode ser recuperada a partir de um certificado, pelo que uma chave perdida implica sempre uma reemissão.

Se pretende compreender na íntegra por que motivo os dois deixaram de corresponder e como isso se manifesta em cada servidor, consulte o nosso guia sobre como corrigir o erro de incompatibilidade de módulo.

---

Perguntas frequentes

---