Laboratorio de construcción de cadenas de certificados
Ordena un montón de certificados X.509 en una cadena válida, de la hoja a la raíz, y da tu veredicto: de confianza o con defecto.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
TLS falla en la cadena, no en la hoja. Recibes un montón desordenado de certificados X.509, decodificados en sus campos (sujeto, emisor, fechas de validez, indicador de CA, uso de clave e identificadores de clave del sujeto y de la autoridad), y tienes que ensamblarlos en una cadena ordenada y válida, de la hoja a la raíz, en la que cada certificado esté firmado de verdad por el siguiente. Los certificados se enlazan por identidad, no por nombre: el emisor del hijo debe coincidir con el sujeto del padre Y su authority key id (AKI) con el subject key id (SKI) del padre. Después das el veredicto: una cadena limpia y de confianza, un intermedio que falta y sin el que no puedes avanzar, un eslabón caducado o una raíz autofirmada completa pero no de confianza. Una raíz solo es de confianza cuando es autofirmada (sujeto == emisor, SKI == AKI) y su SKI está en el almacén de confianza del escenario: construir una cadena completa no es lo mismo que confiar en ella. Los escenarios cubren los fallos reales: cadena limpia, intermedio ausente, orden incorrecto, eslabón caducado, raíz autofirmada falsa y un certificado señuelo que no pertenece a ninguna cadena. Se puntúa de S a D con niveles de dificultad que añaden señuelos verosímiles, incluida una CA gemela con el mismo nombre pero un SKI distinto, para que aprendas a verificar los identificadores de clave en lugar de los nombres. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee los campos decodificados de cada certificado: sujeto, emisor, validez, indicador de CA, uso de clave, SKI y AKI.
- Enlaza cada certificado con su emisor comprobando emisor → sujeto y AKI → SKI, no solo el nombre.
- Ordena la cadena de la hoja a la raíz y descarta los señuelos.
- Da el veredicto: de confianza, intermedio ausente, eslabón caducado o raíz no de confianza.
Preguntas frecuentes
¿Qué es el laboratorio de construcción de cadenas de certificados?
Un ejercicio en el navegador en el que recibes un conjunto desordenado de certificados X.509 como resúmenes de campos decodificados (sujeto, emisor, fechas de validez, indicador de CA, uso de clave e identificadores de clave del sujeto y de la autoridad) y debes ensamblarlos en una cadena ordenada y válida desde la hoja hasta una raíz de confianza; después declaras si la cadena es de confianza o señalas el defecto. Funciona íntegramente en tu navegador: sin instalación y sin que ningún dato salga de la página.
¿Cómo se enlaza realmente una cadena de certificados?
Cada certificado nombra a su emisor y lleva un Authority Key Identifier (AKI); la CA que lo firmó tiene un sujeto coincidente y un Subject Key Identifier (SKI). Un eslabón solo es válido cuando el emisor del hijo es igual al sujeto del padre Y el AKI del hijo es igual al SKI del padre, y el padre es una CA que puede firmar certificados (CA:TRUE con keyCertSign). La cadena termina en una raíz autofirmada, cuyo sujeto es igual a su emisor y cuyo SKI es igual a su AKI, y esa raíz solo es de confianza si su SKI está en el almacén de confianza de la parte que confía.
¿Qué errores enseña a detectar?
Los fallos habituales al construir la ruta: un intermedio ausente que hace imposible construir la cadena, certificados colocados en el orden equivocado, un certificado caducado en una ruta por lo demás válida, una raíz autofirmada completa pero no de confianza, y certificados señuelo, incluida una CA gemela con el nombre correcto pero el SKI equivocado, que te enseña a verificar los identificadores de clave en lugar de fiarte del nombre común.
¿Es un validador de certificados real?
No. Es un modelo didáctico de la construcción de cadenas y la validación de rutas que usa certificados inventados y fechas fijas, para que cada lección sea determinista. Ignora a propósito la revocación (CRL/OCSP), las restricciones de nombres, los OID de política y la criptografía de las firmas para que destaquen las ideas centrales: enlace por identidad, orden, ventanas de validez y anclas de confianza. No lo uses para validar certificados de producción.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.