Inspector de claves públicas PGP
Descodifica en tu navegador un bloque de clave pública OpenPGP en armadura ASCII y muestra lo que hay dentro de verdad. Obtienes la huella completa de la clave primaria y de cada subclave, calculada como la define la especificación en lugar de leída de una etiqueta, el ID largo de clave, el algoritmo y el tamaño, la fecha de creación, la de caducidad cuando una autofirma la lleva, y todos los IDs de usuario ligados a la clave. El motivo para mirar casi siempre es el mismo: tienes una huella sacada de la web de un proyecto, de un servidor de claves o de un repositorio de Debian, y necesitas saber si el bloque que tienes delante es esa clave. También verifica la suma CRC-24 de la armadura, los cuatro caracteres tras el `=` del final, que existe precisamente para detectar un bloque que perdió una línea al pasar por una ventana de chat o una página de wiki: una clave corrompida que por lo demás parece perfectamente formada. Y repite el único consejo que importa: compara la huella entera, nunca el ID corto, porque un identificador de 32 bits se puede colisionar en un portátil y alguien ya publicó una falsificación coincidente para cada clave del strong set. Si pegas por error un bloque de clave privada, se niega a procesarlo y lo indica. No se sube nada: la clave se analiza por completo en esta página.
Cómo usar
- Pega un bloque de clave pública en armadura, o suelta un archivo .asc o .gpg sobre la caja.
- Compara la huella completa —los cuarenta dígitos hexadecimales— con la publicada por quien posee la clave.
- Revisa las fechas de creación y caducidad; una clave caducada no puede verificar firmas hechas después de expirar.
- Lee los IDs de usuario para ver qué nombres y direcciones reclama la clave, y la lista de subclaves para ver cuál firma o cifra realmente.
- Todo lo que salga en ámbar conviene resolverlo antes de confiar en la clave.
Preguntas frecuentes
- ¿Por qué comparar la huella y no el ID de clave?
- Porque el ID corto son solo los últimos 32 bits de la huella, y 32 bits no bastan para identificar nada. Producir otra clave con el mismo ID corto lleva minutos en hardware corriente, y en 2019 el proyecto Evil 32 hizo exactamente eso con todas las claves del strong set de PGP y publicó los resultados, así que puede que ya exista una colisión para la clave que te importa. El ID largo son 64 bits, algo mejor y aun así no una base segura para confiar. La huella completa son 160 bits en una clave de versión 4, y por algo es el valor que los proyectos publican en sus webs.
- ¿Qué es la línea `=XXXX` del final del bloque?
- Una suma de comprobación CRC-24 de los datos binarios, definida en el RFC 4880 como parte del formato de armadura. Detecta los accidentes normales de copiar una clave de un sitio a otro: una línea que se come un cliente de chat, un wiki que reajusta el bloque, un pegado que se deja la última fila. Base64 descodificará tan tranquilo un bloque al que le falta una línea en medio, y el analizador de paquetes puede que también, así que sin la suma una clave estropeada parece plausible. Esta herramienta la verifica y te avisa cuando no casa. Ojo: es una comprobación de integridad frente a accidentes, no una firma, y no protege de que alguien sustituya una clave a propósito.
- ¿Es seguro pegar una clave aquí?
- Una clave pública, sí: está hecha para publicarse, y esta página no la envía a ninguna parte. Todo el análisis y el SHA-1 que produce la huella se ejecutan en tu navegador, lo que puedes comprobar cargando la página, desconectándote de la red y pegando una clave; sigue funcionando. Una clave privada es otra cosa: no la pegues nunca en ninguna página web, tampoco en esta. Si el bloque empieza por PRIVATE KEY, la herramienta se niega a procesarlo en lugar de analizarlo en silencio.
- ¿Por qué la huella usa SHA-1 si SHA-1 está roto?
- Porque el formato de clave de versión 4 lo define así, y la huella tiene que calcularse igual en todas partes o nadie podría comparar. SHA-1 está roto en resistencia a colisiones, lo que importa cuando un atacante controla ambas entradas —y en las huellas eso es una preocupación real, que es justo por lo que el nuevo formato de versión 6 del RFC 9580 pasó a SHA-256. Esta herramienta calcula lo que pida la propia versión de la clave, así que una clave v4 obtiene la huella SHA-1 que le mostrarán gpg y cualquier servidor de claves.
- ¿Qué diferencia hay entre la clave primaria y una subclave?
- La clave primaria es la identidad: lleva los IDs de usuario y certifica todo lo demás. Las subclaves cuelgan de ella y hacen el trabajo diario, normalmente una para firmar y otra para cifrar, de modo que la primaria pueda guardarse fuera de línea. Por eso un bloque de clave suele mostrar varias huellas, y por eso la de una firma de correo puede no ser la de la web del proyecto: la firma la hizo una subclave. Aquí se listan las dos, cada una con su huella, para que distingas cuál es cuál.
- ¿Puede comprobar si la clave está revocada o quién la firmó?
- No. Lee los paquetes e informa de las claves, IDs de usuario y fechas que encuentra, pero no verifica firmas, ni sigue certificaciones, ni resuelve la red de confianza: todo eso necesita otras claves y, para la revocación, una consulta a un servidor de claves. Una clave revocada ayer se analiza aquí igual que el día anterior. Para el estado de revocación y la verificación de firmas necesitas gpg y una descarga reciente de un servidor de claves.
Herramientas relacionadas
Inspector de claves públicas SSH
Lee una clave pública SSH o una línea de authorized_keys o known_hosts: algoritmo, tamaño, huellas SHA256 y MD5, comentario y opciones.
Conversor de JWK a PEM (y al revés)
Convierte un JWK o un JWKS entero en claves públicas PEM y al revés, con la huella RFC 7638 de cada clave — todo en tu navegador.
Inspector de almacenes PKCS#12
Abre un .p12 o .pfx en el navegador: MAC y cifrados antes de la contraseña, y luego la cadena, la clave privada y si se corresponden.
Generador de UUID
Genera UUID v4 aleatorios en lote, con copia.
Generador de ULID / NanoID / CUID2
Genera en lote ULIDs, NanoIDs y CUID2 — alternativas modernas a UUID, más cortas, ordenables o resistentes a colisiones.
Decodificador de Snowflake ID (Discord, Twitter)
Decodifica un Snowflake ID de Discord, Twitter/X o Instagram en su marca de tiempo, worker o datacenter y secuencia — con época personalizada.