Средство проверки соответствия сертификата и ключа

We don't store your Private Keys and CSR on our servers.

What to Check?

Check if a Certificate and a Private Key match
Check if a CSR and a Certificate match

Paste Your Certificate Text

Paste Your Private Key

О программе Средство проверки соответствия сертификата и ключа

Certificate Key Matcher от ToolsPivot — онлайн-инструмент для проверки соответствия SSL-сертификата и приватного ключа или CSR-запроса. Вставьте данные сертификата и ключа в два поля, и инструмент мгновенно сравнит их модули. В отличие от проверки через командную строку OpenSSL, здесь не нужно устанавливать программы, запоминать команды или работать с терминалом — проверка занимает 5 секунд прямо в браузере, а приватные ключи не сохраняются на сервере.

Возможности Certificate Key Matcher от ToolsPivot

Инструмент проверяет криптографическую связь между компонентами SSL — сертификатом, приватным ключом и CSR. Вот что конкретно он делает.

Проверка пары «сертификат + приватный ключ»: Основной режим. Инструмент сравнивает модули сертификата и приватного ключа. Если хэши совпадают — пара верная, и сертификат можно устанавливать на сервер.
Проверка пары «CSR + сертификат»: Второй режим, переключаемый в интерфейсе. Полезен, если вы получили сертификат от удостоверяющего центра и хотите убедиться, что он выпущен именно по вашему CSR-запросу.
Ввод через текстовые поля: Никаких загрузок файлов. Скопируйте содержимое .crt, .key или .csr файла целиком (включая строки BEGIN и END) и вставьте в соответствующее поле.
Работа с PEM-форматом: Инструмент принимает данные в формате PEM — самом распространённом формате для SSL-сертификатов. Если ваш сертификат в формате DER или PFX, сначала конвертируйте его через конвертер SSL.
Конфиденциальность данных: ToolsPivot прямо указывает: приватные ключи и CSR не сохраняются на серверах. Проверка выполняется и результат отдаётся — данные не хранятся.
Поддержка RSA-ключей: Проверка основана на сравнении модулей, что работает для RSA-пар — стандарта в 90 % коммерческих SSL-сертификатов.

Как пользоваться Certificate Key Matcher от ToolsPivot

Проверка занимает три шага. Терминал и OpenSSL не нужны.

Выберите тип проверки. На странице инструмента выберите, что именно проверяете: «Certificate + Private Key» или «CSR + Certificate». По умолчанию выбран первый вариант.
Вставьте данные. Скопируйте содержимое файла сертификата (.crt) в левое поле «Paste Your Certificate Text». В правое поле вставьте приватный ключ (.key) или CSR (.csr) — зависит от выбранного режима. Копируйте весь текст, включая -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----.
Получите результат. Нажмите кнопку проверки. ToolsPivot сравнит модули и покажет, совпадают ли файлы. Зелёный результат — пара верная. Красный — файлы не соответствуют друг другу.

Идеально подходит для системных администраторов, которые управляют десятками сертификатов на разных серверах и хотят быстро найти правильную пару, не запуская терминал.

Зачем использовать Certificate Key Matcher от ToolsPivot

Ошибка «Private Key and the Certificate do not match» — одна из самых частых при установке SSL. Вот почему этот инструмент стоит держать в закладках.

Предотвращение ошибок при установке. Если приватный ключ не подходит к сертификату, веб-сервер (Apache, Nginx, IIS) просто не запустится с SSL. Проверка заранее экономит время на диагностику — особенно ночью, когда сертификат истекает и его нужно срочно обновить.
Быстрее, чем OpenSSL в терминале. Команда openssl x509 -noout -modulus -in cert.crt | openssl md5 работает, но требует установленной библиотеки, правильного пути к файлу и понимания синтаксиса. В ToolsPivot — скопировал, вставил, проверил.
Без регистрации и оплаты. Конкуренты вроде SSL Shopper и SSLChecker.com тоже предлагают подобный инструмент, но многие перегружены рекламой или требуют переходов между страницами. Здесь одна страница и один клик.
Безопасность приватных данных. Приватный ключ — критический элемент SSL-инфраструктуры. ToolsPivot не сохраняет ваши ключи. Для дополнительной уверенности можно проверить CSR отдельно.
Удобно при перевыпуске сертификата. Если у вас несколько CSR-запросов от разных периодов, легко запутаться, какой ключ к какому сертификату. Matcher покажет за секунды.
Работает на любом устройстве. Браузерный инструмент: ноутбук, планшет, даже телефон. Полезно, если вы удалённо помогаете клиенту и не имеете SSH-доступа к его серверу.

Особенно полезен для хостинг-провайдеров и веб-студий, которые устанавливают SSL-сертификаты клиентам на WordPress, проверяют SEO-состояние сайтов и сталкиваются с проблемами SSL регулярно.

Когда нужна проверка соответствия сертификата и ключа

Не каждый день приходится проверять SSL-пары. Но есть конкретные ситуации, когда без этого не обойтись.

Обновление истекающего сертификата. Let's Encrypt выдаёт сертификаты на 90 дней, коммерческие CA — на 1 год (с 2024 года планируется переход на 90-дневные сроки для всех). При каждом обновлении генерируется новый CSR и ключ. Если случайно использовать старый ключ с новым сертификатом — сервер выдаст ошибку.

Миграция между серверами. Переносите сайт с одного хостинга на другой (скажем, с Timeweb на Selectel или с Beget на VPS)? При переносе файлов легко перепутать ключи, особенно если на сервере несколько доменов. Проверьте каждую пару перед запуском, а DNS-записи — после смены сервера.

Работа с Wildcard и SAN-сертификатами. Wildcard-сертификат покрывает *.example.ru и все поддомены. SAN (Subject Alternative Name) может включать несколько доменов. У таких сертификатов один приватный ключ, но путаница при обновлении — обычное дело.

Ошибка x509_check_private_key:key values mismatch. Apache выдаёт именно эту строку в логах, если ключ и сертификат не совпадают. Nginx тоже не стартует — но ошибка может быть менее очевидной. Проверка в Matcher быстрее, чем разбор логов.

Если ключ потерян или не подходит, выход один — сгенерировать новый CSR с новым приватным ключом и перевыпустить сертификат через удостоверяющий центр. Большинство CA делают это бесплатно.

Что делать, если сертификат и ключ не совпали

Matcher показал красный результат. Паниковать рано — вот пошаговый план действий.

Первое: убедитесь, что вы вставили правильные файлы. Проверьте расширения: .crt для сертификата, .key для приватного ключа, .csr для запроса. Откройте файлы в текстовом редакторе и посмотрите заголовки. Сертификат начинается с -----BEGIN CERTIFICATE-----, ключ — с -----BEGIN PRIVATE KEY----- или -----BEGIN RSA PRIVATE KEY-----.

Второе: проверьте, не перепутаны ли ключи от разных доменов. Если на сервере 5 сайтов с SSL, у вас 5 пар файлов. Имена файлов не всегда информативны — «server.key» мог быть создан для любого из доменов.

Третье: используйте декодер сертификата, чтобы посмотреть, для какого домена выпущен сертификат. А декодер CSR покажет, какой домен указан в запросе. Сопоставьте эти данные.

Если правильный ключ найти не удалось — перевыпуск. Создайте новый CSR, отправьте его в CA, получите новый сертификат. Процедура занимает от 5 минут для DV-сертификатов до нескольких дней для EV.

Как работает проверка на техническом уровне

Certificate Key Matcher сравнивает математическое значение, которое называется модуль (modulus). В RSA-криптографии приватный и публичный ключ связаны через один и тот же модуль. Сертификат содержит публичный ключ, а файл .key — приватный. Если модуль у обоих файлов одинаковый, значит, они были созданы в паре.

Технически инструмент выполняет ту же операцию, что и команды OpenSSL:

openssl x509 -noout -modulus -in certificate.crt | openssl md5
openssl rsa -noout -modulus -in private.key | openssl md5

Результат — два MD5-хэша. Совпадают — пара верная. Нет — файлы от разных сертификатов. Аналогичная логика для CSR: команда openssl req -noout -modulus -in request.csr | openssl md5 даёт третий хэш, который тоже должен совпадать.

MD5 в данном случае используется только для удобства сравнения, а не для криптографической защиты. SHA-256 надёжнее, но для целей сопоставления модулей MD5 вполне достаточно. Для создания криптографических хэшей в других задачах пригодится генератор MD5-хэшей. Если вам нужна проверка самого SSL-сертификата на валидность и срок действия, используйте проверку SSL.

Быстрые ответы про Certificate Key Matcher

Certificate Key Matcher — это бесплатно?

Да, инструмент полностью бесплатный и не требует регистрации. Вы можете проверять неограниченное количество пар сертификатов и ключей без создания аккаунта, оплаты или подписки.

Безопасно ли вставлять приватный ключ в онлайн-инструмент?

ToolsPivot заявляет, что не сохраняет приватные ключи и CSR на своих серверах. Для максимальной безопасности критически важных ключей рекомендуется проверять соответствие локально через OpenSSL. Для повседневных задач онлайн-проверка экономит время без существенных рисков.

Какие форматы файлов поддерживает инструмент?

Certificate Key Matcher работает с данными в формате PEM — текстовом формате с заголовками BEGIN/END. Это стандартный формат для большинства SSL-сертификатов. Если у вас файлы в формате DER, PFX или PKCS#12, сначала преобразуйте их через SSL-конвертер ToolsPivot.

Чем этот инструмент отличается от проверки через OpenSSL?

Результат одинаковый — сравнение модулей. Разница в удобстве: OpenSSL требует установки на сервер, знания команд и доступа к терминалу. Certificate Key Matcher от ToolsPivot работает в браузере за 5 секунд, без установки программ.

Что означает ошибка «Private Key and the Certificate do not match»?

Эта ошибка говорит, что модули сертификата и приватного ключа различаются — файлы были созданы для разных CSR-запросов. Чаще всего причина: при обновлении сертификата использовали старый приватный ключ вместо нового. Решение — найти правильный ключ или перевыпустить сертификат с новым CSR.

Можно ли проверить соответствие для Wildcard SSL-сертификата?

Да. Wildcard-сертификат (*.example.ru) проверяется точно так же, как обычный. Принцип тот же — сравнение модулей. Тип сертификата (DV, OV, EV, Wildcard, SAN) не влияет на процесс проверки.

Что делать, если потерял приватный ключ?

Если приватный ключ утерян, установить сертификат на сервер невозможно. Единственный вариант — сгенерировать новый CSR-запрос с новым ключом и запросить перевыпуск сертификата у удостоверяющего центра. Большинство CA перевыпускают бесплатно.

Работает ли инструмент с самоподписанными сертификатами?

Да. Самоподписанные (self-signed) сертификаты имеют ту же структуру RSA-ключей, что и сертификаты от CA. Модули сравниваются одинаково, и проверка CSR тоже будет работать. Самоподписанные сертификаты часто используют для тестовых серверов — проверить, на каком хостинге работает сайт, можно отдельным инструментом.

Можно ли проверить сертификат Let's Encrypt?

Да. Let's Encrypt выдаёт стандартные X.509-сертификаты в формате PEM. Скопируйте содержимое файла fullchain.pem и privkey.pem — вставьте в соответствующие поля. Учитывайте, что Let's Encrypt обновляет сертификаты каждые 90 дней, и при автопродлении ключ может меняться.

Нужно ли проверять соответствие при каждой установке SSL?

При первой установке — желательно. При обновлении — обязательно. При миграции сервера — критически важно. По статистике, около 30 % ошибок при установке SSL связаны именно с несоответствием ключа и сертификата. Проверка через Certificate Key Matcher занимает секунды и страхует от простоя сайта. Для комплексного аудита безопасности стоит также использовать проверку безопасности сайта и мониторинг статуса сервера.

Инструмент работает с ECC-сертификатами?

Certificate Key Matcher использует сравнение модулей, а это метод для RSA-ключей. Сертификаты на основе эллиптических кривых (ECC/ECDSA) не имеют модуля в классическом понимании и проверяются иначе. Для ECC используйте OpenSSL локально с командой openssl ec -in key.pem -text -noout.