pki-toolbox

PKI आर्टिफैक्ट्स के लिए एक स्व-होस्टेड, 100% क्लाइंट-साइड टूलबॉक्स: X.509 प्रमाणपत्र, PKCS#10 CSR, चेन, CRL, PKCS#7 और PKCS#12 बंडल, रॉ ASN.1, फ़ॉर्मेट रूपांतरण, फ़िंगरप्रिंट और प्रमाणपत्र जारी करना। ऑनलाइन प्रमाणपत्र डिकोडर का गोपनीयता-सम्मान करने वाला, स्व-होस्ट करने योग्य विकल्प।

लाइव डेमो: https://pki-toolbox.youkyi.net (डेमो वही स्टैटिक बिल्ड है जिसे आप नीचे स्व-होस्ट कर सकते हैं; आप जो भी पेस्ट करते हैं वह आपके ब्राउज़र से बाहर नहीं जाता)।

हर बाइट आपके ब्राउज़र के अंदर @peculiar/x509 और pkijs के साथ पार्स की जाती है। कुछ भी कभी अपलोड नहीं होता, बैकएंड केवल स्टैटिक फ़ाइलें परोसता है। आपको इसे विश्वास पर लेने की ज़रूरत नहीं है: नीचे सत्यापन-योग्य गोपनीयता देखें।

टूल्स

कैटलॉग एक ही रजिस्ट्री (src/lib/tools.ts) में रहता है जो navbar और होम ग्रिड को चलाती है।

टूल्स के आसपास:

• होम पेज पर कुछ भी पेस्ट करें। आर्टिफैक्ट को उसके बाइट्स से पहचाना जाता है (PEM लेबल या DER हेडर, देखें src/lib/pki/detect.ts) और इसे पढ़ने वाले टूल में खुलता है।
• गलत टूल में एक आर्टिफैक्ट यह बताता है और सही टूल प्रस्तावित करता है, अपनी सामग्री साथ ले जाता है। हैंडओवर मेमोरी में होता है, कभी URL के माध्यम से नहीं, इसलिए यह history फ़ाइलों, proxy लॉग्स और bookmark syncs से बाहर रहता है।
• परिणाम के नीचे "Same artefact in" इसे उन अन्य टूल्स तक ले जाता है जो इसे पढ़ते हैं, इसलिए एक पेस्ट कई सवालों का जवाब देता है।
• एक verdict band किसी भी विवरण पंक्ति से पहले उस सवाल का जवाब देता है जिसके लिए टूल मौजूद है, और जो मान किसी टिकट में उद्धृत होते हैं वे एक क्लिक में कॉपी हो जाते हैं।
• हर टूल पेस्ट किया गया आर्टिफैक्ट या अपलोड की गई फ़ाइल लेता है, और एक सैंपल इनपुट भी देता है ताकि आप बिना किसी के इसे आज़मा सकें। / कैरेट को इनपुट में रखता है।

सत्यापन-योग्य गोपनीयता

दावा "यह आपके ब्राउज़र से कभी बाहर नहीं जाता" पेज के अंदर से सत्यापन-योग्य है:

• हर इनपुट बॉक्स में एक Verify पैनल होता है जो उस पॉलिसी से पेज के स्वयं के connect-src निर्देश को पढ़कर बताता है जिसके साथ इसे परोसा गया था, आपके पेस्ट करने के बाद से डेटा बाहर ले जाने में सक्षम अनुरोधों की गिनती करता है, और एक लाइव प्रयास चलाता है जिसे ब्राउज़र आपके सामने अस्वीकार कर देता है, उस निर्देश का हवाला देते हुए जिसने इसे रोका।
• पेस्ट की गई private key का नाम लिया जाता है और उसे ढका जाता है: बॉक्स बताता है कि उसमें क्या है और यह पेज से बाहर नहीं गया है, Clear it और Show it anyway के साथ। कुछ भी डिकोड, ट्रांसमिट या संग्रहीत नहीं होता।
• प्रमाणपत्र डिकोड करते समय अपने ब्राउज़र का network टैब खोलें: आपको एक भी अनुरोध नहीं दिखेगा।

इसे चलाएँ

हमेशा एक पिन किया गया, अपरिवर्तनीय रिलीज़ टैग (vX.Y.Z) चलाएँ, कभी latest नहीं: एक बदलता टैग ऑडिट या रोलबैक नहीं किया जा सकता। सबसे मज़बूत गारंटी के लिए, इमेज डाइजेस्ट (...@sha256:...) पिन करें।

docker run -p 8080:8080 ghcr.io/youkyi/pki-toolbox:v2.2.0

फिर http://localhost:8080 खोलें।

सार्वजनिक इमेज

प्रत्येक रिलीज़, उसी अपरिवर्तनीय vX.Y.Z टैग के अंतर्गत, यहाँ प्रकाशित होती है:

docker pull ghcr.io/youkyi/pki-toolbox:v2.2.0   # or
docker pull youkyi/pki-toolbox:v2.2.0

Docker Compose के साथ स्व-होस्ट करें

services:
  pki-toolbox:
    image: ghcr.io/youkyi/pki-toolbox:v2.2.0
    ports:
      - '8080:8080'
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    read_only: true

docker compose up -d

रिपॉज़िटरी एक पूरी तरह से हार्डन किया गया docker-compose.yml (read-only root filesystem, dropped capabilities, memory और CPU सीमाएँ) देती है; इस न्यूनतम उदाहरण के बजाय सीधे उस फ़ाइल का उपयोग करें।

इमेज nginx:alpine-slim से बनाई गई है, इसका वज़न लगभग 25 MB है, यह गैर-विशेषाधिकार प्राप्त पोर्ट 8080 पर सुनता है और non-root उपयोगकर्ता के रूप में चलता है।

स्थानीय विकास

Node 24 (वह संस्करण जिसके साथ इमेज और CI बनाते हैं) और pnpm 11 आवश्यक है। सटीक pnpm संस्करण package.json के packageManager फ़ील्ड द्वारा पिन किया गया है, इसलिए इसे पाने के लिए corepack enable पर्याप्त है।

pnpm install
pnpm dev          # dev server on http://localhost:5173
pnpm test         # unit tests, single run (Vitest)
pnpm test:unit    # the same tests, in watch mode
pnpm test:e2e     # end-to-end tests (Playwright)
pnpm test:e2e:ui  # the same, in the Playwright UI
pnpm check        # svelte-check / TypeScript
pnpm lint         # Prettier + ESLint
pnpm format       # rewrite files with Prettier
pnpm build        # static build into ./build
pnpm preview      # serve ./build locally

Docker इमेज बनाना

docker build -t pki-toolbox .
docker run -p 8080:8080 pki-toolbox

यह कैसे काम करता है

• SvelteKit 2 + TypeScript, adapter-static के साथ सादे HTML/JS में बनाया गया: हर रूट प्रीरेंडर होता है और प्रोडक्शन में कोई Node रनटाइम नहीं होता।
• स्टाइलिंग के लिए TailwindCSS, youkyi डिज़ाइन सिस्टम पर: डिफ़ॉल्ट रूप से लाइट, डार्क सिग्नेचर थीम के रूप में (चुनाव बना रहता है)।
• सारी पार्सिंग src/lib/pki/ के अंतर्गत शुद्ध, परीक्षण-योग्य फ़ंक्शन्स में रहती है, बिना किसी Svelte इम्पोर्ट के: parse.ts, chain.ts, crl.ts, pkcs7.ts, pkcs12.ts, asn1.ts, convert.ts, format.ts, pem.ts, oids.ts, detect.ts, और । के अंतर्गत प्रत्येक रूट उनके चारों ओर एक पतली UI शेल है।

सुरक्षा स्थिति

• ऐप से कोई नेटवर्क एग्रेस नहीं। Content-Security-Policy को SvelteKit द्वारा connect-src 'none' के साथ एक <meta> टैग के रूप में उत्सर्जित किया जाता है; nginx frame-ancestors 'none', X-Frame-Options, X-Content-Type-Options, Referrer-Policy: no-referrer, एक प्रतिबंधात्मक Permissions-Policy और cross-origin isolation हेडर जोड़ता है। Vercel डेमो वही हेडर सेट भेजता है (देखें vercel.json)।
• शत्रुतापूर्ण-इनपुट सीमाएँ। हर डिकोडर 4 MB से अधिक का इनपुट अस्वीकार करता है, और ASN.1 वॉकर नोड गिनती और नेस्टिंग गहराई में सीमित है, इसलिए एक विकृत आर्टिफैक्ट टैब को हैंग नहीं कर सकता।
• हार्डन किया गया रनटाइम। nginx पोर्ट 8080 पर non-root उपयोगकर्ता के रूप में चलता है; दी गई docker-compose.yml एक read-only root filesystem, cap_drop: ALL, no-new-privileges और संसाधन सीमाएँ जोड़ती है।
• दोनों बेस इमेज अपरिवर्तनीय डाइजेस्ट पर पिन की गई हैं जिन्हें Renovate अद्यतित रखता है। CI एक fixable HIGH/CRITICAL निष्कर्ष पर विफल हो जाता है, दोनों रिपॉज़िटरी पर () और नई बनी इमेज पर, जिसे तब भी अस्वीकार कर दिया जाता है जब उसका बेस OS end-of-life हो, इसलिए एक कमज़ोर इमेज कभी पुश नहीं की जाती। लाइसेंस एक अलग, गैर-अवरोधक पास में स्कैन किए जाते हैं।

वर्ज़निंग और रिलीज़

यह प्रोजेक्ट Semantic Versioning और Conventional Commits का पालन करता है। उल्लेखनीय परिवर्तन CHANGELOG.md में दर्ज किए जाते हैं। योगदान नियम CONTRIBUTING.md में रहते हैं।

रिलीज़ काटना

1. CHANGELOG.md में, ## [Unreleased] शीर्षक को आज की तारीख के साथ नए संस्करण में बदलें, जैसे ## [1.2.3] - 2026-06-01, इसके ऊपर एक नया खाली ## [Unreleased] जोड़ें, और फ़ाइल के नीचे लिंक संदर्भ अपडेट करें।
2. package.json में "version" को उसी संख्या में बंप करें।
3. main पर कमिट करें (एक conventional commit, जैसे chore(release): 1.2.3) और पुश करें।
4. कमिट को टैग करें और टैग पुश करें:
   root@kitploit:~

   git tag -a v1.2.3 -m "pki-toolbox v1.2.3"
   git push origin v1.2.3
   

पाइपलाइन

Lint, यूनिट टेस्ट और end-to-end टेस्ट हर पुश पर चलते हैं। स्कैन, बिल्ड और रिलीज़ चरण साझा YouKyi-Infra/ci-infrastructure/ci-catalog घटकों (trivy-scan, docker-build, gitlab-release) से आते हैं, जो .gitlab-ci.yml में संस्करण द्वारा पिन किए गए हैं।

एक vX.Y.Z टैग पूरी श्रृंखला चलाता है: स्कैन, इमेज बिल्ड, इमेज स्कैन, GitLab रजिस्ट्री और सार्वजनिक मिरर (ghcr.io, Docker Hub) पर vX.Y.Z का पुश, फिर एक GitLab Release जिसके नोट्स CHANGELOG.md से निकाला गया मेल खाता ## [X.Y.Z] अनुभाग हैं (एक खाली अनुभाग खाली नोट्स प्रकाशित करने के बजाय जॉब को विफल कर देता है)।

main पर एक पुश रिलीज़ चरण के बिना वही पाइपलाइन चलाता है, और इमेज जॉब केवल तब चलता है जब बिल्ड को प्रभावित करने वाली कोई फ़ाइल बदली हो, इसलिए केवल docs- या config-पुश इमेज को फिर से नहीं बनाता।

निर्भरताएँ Renovate द्वारा अद्यतित रखी जाती हैं, जो साझा Renovate-Bot/renovate-config प्रीसेट को एक्सटेंड करता है (देखें renovate.json)।

लाइसेंस

MIT