一句话定位：从"这张证书到底可不可信、还能撑多久"，到"这个 exe 签名有没有做对、这份 PDF 有没有被改过"，一条链路测完。全部本地运算，不调第三方检测接口。

• 🧰 19 个在线工具、6 个分组：部署检测、证书申请、代码签名、有效期管理、参考与诊断，外加"证书查验"公开验证页。

• 🆕 四项新能力已上线：代码签名证书部署检测、代码签名部署成功检查、QES 电子签章校验、批量证书监控，另有国密 SM2/SM4 算法工具箱。

• 🔐 本地优先运算：密钥生成、证书解析、签名验签都在本机完成，输入不落盘、不入库、不外发。

• 📄 报告可复核：可信性报告与到期报告带专属编号（SD- 开头，30 天内可复核），验证页带 VF- 编号、二维码与打印版。

• 🆓 全部免费、无需注册：不设次数限制，也不引导付费。

• 📊 底座是实测不是猜测：124 张本地根证书、0 个第三方检测接口，TLS 1.3 协议与套件实测。

1. 代码签名——软件、驱动、安装包发布前，证书能不能签、签完到底成不成功；

2. 电子签章——PDF 与 PKCS#7 签章是否有效、文件有没有在签署后被改过；

3. 规模化管理——一群域名怎么持续盯住到期与链状态，而不是靠人记。

五个工具串起来是一条完整的诊断线：测线上 → 验可信 → 查链 → 修链 → 对私钥。

• EKU 必须含 Code Signing（1.3.6.1.5.5.7.3.3）——只签服务器的 SSL 证书不能给软件签名，Windows 会直接拒绝；

• KeyUsage 必须含 Digital Signature——缺这一位，签名工具会报"密钥不可用于签名"；

• 算法要满足平台要求——Windows 10/11 与 macOS 已不接受 SHA-1 签名，RSA 建议 2048 位以上；

• 证书链是否完整、是否在有效期内——链不完整，签出来的文件在部分机器上仍显示"未知发布者"。

1. 是否真的存在 Authenticode 签名；

2. 按规范重算 PE 摘要，与签名中的 digest 比对——文件被改一个字节都会暴露；

3. 用签名者公钥解签，判断签名值是否有效、是否伪造；

4. 校验证书链与本地根库，并检测是否附加 RFC3161 时间戳。

• 解析 PKCS#7 SignedData 与 PDF /ByteRange，确认签名值与签名者证书齐全；

• 按 ByteRange 重新拼接被签名覆盖的字节，重算摘要与 messageDigest 比对——改字、改页、抽换附件都会暴露；

• 用签名者公钥验签，判断签名是否由该证书签发；

• 提取签名者主体与颁发机构，按本地根库逐级校验；

• 读取 signingTime 与 RFC3161 时间戳标识，判断证书过期后签名是否仍可追溯。

三个工具的关系：部署检测 = 发版前自检；部署成功检查 = 发版后验收；QES 校验 = 对外交付前的最后一眼。

1. 域名类检测：由本站服务器直连目标 443 端口完成握手，读取服务器真实返回的证书，不调用任何第三方检测接口，因此不存在"第三方接口挂了就测不出结果"的情况。

2. 材料类输入：证书、私钥、CSR、PE 文件、PDF 签章，只在本次请求的内存中解析，不写盘、不入库、不二次转发；CSR 生成的私钥留在本地浏览器，服务器不留存。

3. 信任判断：用本地 124 张根证书库验签，报告会列出链上每一张证书与失败原因，便于逐级核对。页面也如实说明：浏览器还会叠加 CT、吊销状态与自身策略，所以"链可信"不等于"浏览器一定不告警"——这种把边界讲清楚的做法，比笼统承诺可靠得多。