Skip to main content
replaced https://tools.ietf.org/html/rfc with https://www.rfc-editor.org/rfc/rfc
Fonte Link

O "nome" do certificado a que você se refere, provavelmente é o campo SubjectSubject, que aparece desta forma ao usar print_r:

Mas um certificado de servidor pode corresponder a mais de uma URL, cujos valores ficam na extensão Subject Alternative NameSubject Alternative Name. O print_r mostra desta maneira:

Eu coloquei if ($v[0] === "DNS") porque esta extensão pode ter outros tipos de informações além de "DNS" (neste caso não tem, mas a definição desta extensãodefinição desta extensão prevê vários tipos diferentes). A lista de URLs é bem grande (de 0 a 30, omiti vários por questões de brevidade):

Essa redundância também acontece com outros campos, como aconteceu com a data de validade acima (a mesma data em 2 formatos diferentes). Outro campo que tem isso é o Serial NumberSerial Number, que tem o mesmo valor em base decimal e hexadecimal:

Mas é possível saber o que cada campo pode ter, lendo a RFC 5280RFC 5280 (um documento chatíssimo, mas muito importante para entender a estrutura de um certificado e o tipo de dados que podem estar em cada campo).

O "nome" do certificado a que você se refere, provavelmente é o campo Subject, que aparece desta forma ao usar print_r:

Mas um certificado de servidor pode corresponder a mais de uma URL, cujos valores ficam na extensão Subject Alternative Name. O print_r mostra desta maneira:

Eu coloquei if ($v[0] === "DNS") porque esta extensão pode ter outros tipos de informações além de "DNS" (neste caso não tem, mas a definição desta extensão prevê vários tipos diferentes). A lista de URLs é bem grande (de 0 a 30, omiti vários por questões de brevidade):

Essa redundância também acontece com outros campos, como aconteceu com a data de validade acima (a mesma data em 2 formatos diferentes). Outro campo que tem isso é o Serial Number, que tem o mesmo valor em base decimal e hexadecimal:

Mas é possível saber o que cada campo pode ter, lendo a RFC 5280 (um documento chatíssimo, mas muito importante para entender a estrutura de um certificado e o tipo de dados que podem estar em cada campo).

O "nome" do certificado a que você se refere, provavelmente é o campo Subject, que aparece desta forma ao usar print_r:

Mas um certificado de servidor pode corresponder a mais de uma URL, cujos valores ficam na extensão Subject Alternative Name. O print_r mostra desta maneira:

Eu coloquei if ($v[0] === "DNS") porque esta extensão pode ter outros tipos de informações além de "DNS" (neste caso não tem, mas a definição desta extensão prevê vários tipos diferentes). A lista de URLs é bem grande (de 0 a 30, omiti vários por questões de brevidade):

Essa redundância também acontece com outros campos, como aconteceu com a data de validade acima (a mesma data em 2 formatos diferentes). Outro campo que tem isso é o Serial Number, que tem o mesmo valor em base decimal e hexadecimal:

Mas é possível saber o que cada campo pode ter, lendo a RFC 5280 (um documento chatíssimo, mas muito importante para entender a estrutura de um certificado e o tipo de dados que podem estar em cada campo).

Fonte Link
hkotsubo
  • 66,9mil
  • 25
  • 87
  • 170

Faz um tempo que não programo em PHP e com certeza os códigos abaixo não são os melhores, mas como o foco da questão é sobre os campos do certificado, achei que valia a pena uma resposta.


O "nome" do certificado a que você se refere, provavelmente é o campo Subject, que aparece desta forma ao usar print_r:

[subject] => Array
    (
        [C] => BR
        [ST] => Rio de Janeiro
        [L] => Rio de Janeiro
        [O] => B2W COMPANHIA DIGITAL
        [OU] => Tecnologia
        [CN] => b2wdigital.com
    )

No caso, você poderia pegar somente o CN, que contém o Common Name do certificado (no caso de certificados de servidor, contém a URL do site):

echo "Nome do certificado: " . $certinfo['subject']['CN'];

Neste caso, a saída é:

Nome do certificado: b2wdigital.com

Mas um certificado de servidor pode corresponder a mais de uma URL, cujos valores ficam na extensão Subject Alternative Name. O print_r mostra desta maneira:

[extensions] => Array
    (
        ... outras extensões
        [subjectAltName] => DNS:b2wdigital.com, DNS:www.submarino.com, ... (um monte de entradas DNS)

No teste que fiz, o certificado tinha 31 URLs. Para obtê-las, basta quebrar a string (separa por vírgulas) e ver as entradas que são "DNS":

// os valores estão separados por vírgula e espaço
$names = explode(", ", $certinfo['extensions']['subjectAltName']);
$lista_urls = []; // lista que vai guardar as URLs
foreach ($names as $name) {
    $v = explode(":", $name); // DNS: url
    if ($v[0] === "DNS") {
        $lista_urls[] = $v[1];
    }
}
print_r($lista_urls);

Eu coloquei if ($v[0] === "DNS") porque esta extensão pode ter outros tipos de informações além de "DNS" (neste caso não tem, mas a definição desta extensão prevê vários tipos diferentes). A lista de URLs é bem grande (de 0 a 30, omiti vários por questões de brevidade):

Array
(
    [0] => b2wdigital.com
    [1] => www.submarino.com
    [2] => *.thebestoff.com.br
    [3] => *.b2w.io
    [4] => www.soubarato.com
    [5] => *.americanas.com.br
    [6] => *.soubarato.io
    [7] => *.soubarato.com.br
    [8] => *.submarino.com.br
    ....

Aliás, um dos muitos nomes desta lista é da URL que você usou para obter o certificado: *.submarino.com.br.


Para a data de validade, há dois campos:

[validTo] => 200204120000Z
[validTo_time_t] => 1580817600

O primeiro é a data e hora em UTC: 200204120000Z. Os 2 primeiros dígitos (20) são o ano (no caso, 20 equivale a 2020), depois vem o mês (02 -> fevereiro), o dia (04) e o horário (120000 -> 12:00:00 -> meio-dia). O Z no final indica que esta data/hora está em UTC.

O segundo valor (1580817600) é o timestamp - a quantidade de segundos desde o Unix Epoch, ou seja, 1580817600 segundos depois de 1970-01-01T00:00Z.

Ambos correspondem à mesma data/hora, então você pode escolher qualquer um para obter a data de validade:

// usando o valor do timestamp
$dt = new DateTime('@' . $certinfo['validTo_time_t']);
echo "Data de validade:". $dt->format('Y-m-d H:i:s P');

// usando a string 200204120000Z
$dt = DateTime::createFromFormat('ymdHisP', $certinfo['validTo']);
echo "Data de validade:". $dt->format('Y-m-d H:i:s P');

Ambos imprimem:

Data de validade:2020-02-04 12:00:00 +00:00


Outros campos

Para pegar mais campos, basta observar a saída de print_r. A sua variável $certinfo nada mais é que um Array com várias entradas, uma para cada campo do certificado. Alguns são strings, como o name:

[name] => /C=BR/ST=Rio de Janeiro/L=Rio de Janeiro/O=B2W COMPANHIA DIGITAL/OU=Tecnologia/CN=b2wdigital.com

Outros podem ser Arrays, como o caso do subject que vimos acima. Basta fazer $certinfo['nome_do_campo'] e em seguida veja se esse campo é uma string, Array, etc e trate-o de acordo.

Além disso, name e subject na verdade são o mesmo campo, apenas em formatos diferentes (name tem uma string com todos os valores e subject tem esses valores devidamente quebrados em um Array).

Essa redundância também acontece com outros campos, como aconteceu com a data de validade acima (a mesma data em 2 formatos diferentes). Outro campo que tem isso é o Serial Number, que tem o mesmo valor em base decimal e hexadecimal:

[serialNumber] => 4187706408991266263283860591637795211
[serialNumberHex] => 032685DDE5C5A2AE141685650B49918B

Enfim, cada campo vai ter seu formato próprio. E cada certificado pode ou não ter determinados campos (nome, data de validade e serial number todos terão, mas DNS Names nem sempre, por exemplo). Infelizmente a documentação da função openssl_x509_parse não diz qual o formato do Array retornado:

The structure of the returned data is (deliberately) not yet documented, as it is still subject to change.

A estrutura dos dados retornados é (deliberadamente) não-documentada, pois está sujeita à mudanças.

Mas é possível saber o que cada campo pode ter, lendo a RFC 5280 (um documento chatíssimo, mas muito importante para entender a estrutura de um certificado e o tipo de dados que podem estar em cada campo).

E no caso de certificados emitidos no Brasil, você pode consultar a ICP-Brasil. Você pode ver a lista de Autoridades Certificadoras, e no site de cada uma deve ter (geralmente tem) um link para as respectivas políticas de certificado. Geralmente é um documento PDF detalhando quais campos são obrigatórios e opcionais e o que pode ter em cada um. É um pouco mais específico que a RFC, já que esta define vários campos opcionais e/ou deixa em aberto os tipos de dados que podem ter. Já a política de certificado é mais específica (para eCPF, por exemplo, define qual campo vai ter o CPF etc).

Geralmente os certificados possuem o link para o site da Autoridade Certificadora que contém as políticas de certificado. No caso do certificado em questão, a URL está na extensão certificatePolicies:

    [extensions] => Array
        (
            .....
            [certificatePolicies] => Policy: 2.16.840.1.114412.1.1
  CPS: https://www.digicert.com/CPS
Policy: 2.23.140.1.2.2

Então basta pegar a URL que está depois de "CPS:"

// cada valor está em uma linha, então eu separo por \n
$policies = explode("\n", $certinfo['extensions']['certificatePolicies']);
foreach($policies as $p) {
    // limitar o array $v a no máximo 2 elementos (para não quebrar o http://...)
    $v = explode(":", $p, 2);
    if (trim($v[0]) === "CPS") {
        echo trim($v[1]); // URL da Autoridade Certificadora
    }
}

No caso, a saída foi:

https://www.digicert.com/CPS

Entrando neste site, há vários links com o texto "DigiCert Certificate Policy (CP)", que aponta para um PDF contendo a política de certificado. Cada link aponta para um documento diferente, pois depende da data em que o certificado foi emitido (as políticas de certificado podem mudar com o tempo). No caso do certificado em questão, a data de emissão está no campo validFrom:

[validFrom] => 181105000000Z

No caso, 5 de novembro de 2018. Procure o link correspondente a esta data e terá o PDF correto. Também é um documento bem chato, e geralmente tem as definições de cada campo (mas às vezes pode ter somente definições "genéricas", ou dizer "conforme RFC5280" ou ainda apontar para outros documentos complementares - enfim, não é fácil...)

Veja também o documento de certificate profiles, que detalha os campos que são obrigatórios e opcionais.