pki-toolbox

セルフホスト可能な、100%クライアントサイドで動作するPKI成果物向けツールボックス: X.509証明書、PKCS#10 CSR、チェーン、CRL、PKCS#7およびPKCS#12バンドル、生のASN.1、フォーマット変換、フィンガープリント、証明書発行。オンライン証明書デコーダーに代わる、プライバシーを尊重したセルフホスト可能な代替ツールです。

ライブデモ: https://pki-toolbox.youkyi.net (デモは以下でセルフホストできるものと同じ静的ビルドです。貼り付けた内容がブラウザから出ることはありません)。

すべてのバイトは@peculiar/x509とpkijsによってあなたのブラウザ内で解析されます。何もアップロードされることはなく、バックエンドは静的ファイルを配信するだけです。これを鵜呑みにする必要はありません。以下の検証可能なプライバシーをご覧ください。

ツール

カタログは単一のレジストリ(src/lib/tools.ts)にあり、ナビバーとホームグリッドを駆動します。

ツール自体に加えて:

• ホームページに何でも貼り付けてください。 成果物はそのバイト列(PEMラベルまたはDERヘッダー、src/lib/pki/detect.tsを参照)によって認識され、それを読み取るツールで開きます。
• 間違ったツールに成果物を入れるとその旨が表示され、正しいツールを提案し、内容を引き継ぎます。引き継ぎはメモリ内で行われ、URLを経由しないため、履歴ファイル、プロキシログ、ブックマーク同期に残りません。
• 結果の下にある**「同じ成果物を」**は、それを読み取る他のツールに引き継ぐので、1回の貼り付けで複数の疑問に答えます。
• 判定バンドは、詳細行の前に、そのツールが存在する理由である問いに答え、チケットに引用される値はワンクリックでコピーできます。
• すべてのツールは貼り付けた成果物またはアップロードしたファイルを受け付け、それなしで試せるようにサンプル入力を同梱しています。/で入力欄にカーソルが移動します。

検証可能なプライバシー

「ブラウザから出ることはない」という主張は、ページ内から検証できます:

• 各入力ボックスにはVerifyパネルがあり、配信されたポリシーからページ自身のconnect-srcディレクティブを読み戻し、貼り付けてからデータを持ち出せるリクエストを数え、ブラウザが拒否するライブ試行をあなたの目の前で実行し、それをブロックしたディレクティブを引用します。
• 貼り付けられた秘密鍵は名前を付けられ、覆われます: ボックスは何を保持しているか、そしてそれがページから出ていないことを示し、Clear itとShow it anywayを提供します。何もデコード、送信、保存されません。
• 証明書をデコードしながらブラウザのネットワークタブを開いてください: リクエストは1つも表示されません。

実行する

常に固定された不変のリリースタグ(vX.Y.Z)を実行し、latestは決して使わないでください: 動くタグは監査もロールバックもできません。最も強力な保証を得るには、イメージダイジェスト(...@sha256:...)を固定してください。

docker run -p 8080:8080 ghcr.io/youkyi/pki-toolbox:v2.2.0

その後、http://localhost:8080を開きます。

公開イメージ

各リリースは、同じ不変のvX.Y.Zタグで以下に公開されます:

docker pull ghcr.io/youkyi/pki-toolbox:v2.2.0   # or
docker pull youkyi/pki-toolbox:v2.2.0

Docker Composeでセルフホスト

services:
  pki-toolbox:
    image: ghcr.io/youkyi/pki-toolbox:v2.2.0
    ports:
      - '8080:8080'
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    read_only: true

docker compose up -d

リポジトリには完全に強化されたdocker-compose.yml(読み取り専用ルートファイルシステム、ドロップされたケイパビリティ、メモリとCPU制限)が同梱されています。この最小限の例ではなく、そのファイルを直接使用してください。

イメージはnginx:alpine-slimからビルドされ、約25 MBで、非特権ポート8080でリッスンし、非rootユーザーとして実行されます。

ローカル開発

Node 24(イメージとCIがビルドに使用するバージョン)とpnpm 11が必要です。正確なpnpmバージョンはpackage.jsonのpackageManagerフィールドで固定されているため、corepack enableで十分です。

pnpm install
pnpm dev          # dev server on http://localhost:5173
pnpm test         # unit tests, single run (Vitest)
pnpm test:unit    # the same tests, in watch mode
pnpm test:e2e     # end-to-end tests (Playwright)
pnpm test:e2e:ui  # the same, in the Playwright UI
pnpm check        # svelte-check / TypeScript
pnpm lint         # Prettier + ESLint
pnpm format       # rewrite files with Prettier
pnpm build        # static build into ./build
pnpm preview      # serve ./build locally

Dockerイメージのビルド

docker build -t pki-toolbox .
docker run -p 8080:8080 pki-toolbox

仕組み

• SvelteKit 2 + TypeScript、adapter-staticでプレーンなHTML/JSにビルド: すべてのルートが事前レンダリングされ、本番環境にNodeランタイムはありません。
• スタイリングにはTailwindCSS、youkyiデザインシステム上: デフォルトはライト、シグネチャテーマはダーク(選択は永続化されます)。
• すべての解析はsrc/lib/pki/以下の純粋でテスト可能な関数にあり、Svelteのインポートはありません: parse.ts、chain.ts、crl.ts、pkcs7.ts、pkcs12.ts、asn1.ts、convert.ts、format.ts、pem.ts、oids.ts、detect.ts、generate.ts、。以下の各ルートはそれらの薄いUIシェルです。

セキュリティ態勢

• アプリからのネットワーク外向き通信なし。 Content-Security-PolicyはSvelteKitによってconnect-src 'none'を含む<meta>タグとして出力されます。nginxはframe-ancestors 'none'、X-Frame-Options、X-Content-Type-Options、Referrer-Policy: no-referrer、制限的なPermissions-Policy、クロスオリジン分離ヘッダーを追加します。Vercelデモも同じヘッダーセットを送信します(vercel.jsonを参照)。
• 敵対的入力の制限。 すべてのデコーダーは4 MBを超える入力を拒否し、ASN.1ウォーカーはノード数とネスト深度に制限があるため、不正な成果物がタブをハングさせることはできません。
• 強化されたランタイム。 nginxはポート8080で非rootユーザーとして実行されます。同梱のdocker-compose.ymlは読み取り専用ルートファイルシステム、cap_drop: ALL、no-new-privileges、リソース制限を追加します。
• サプライチェーン。 両方のベースイメージは不変のダイジェストに固定され、Renovateによって最新に保たれます。CIは修正可能なHIGH/CRITICALの検出で失敗し、リポジトリ(trivy fs)と新しくビルドされたイメージの両方でチェックされます。ベースOSがEOLの場合も拒否されるため、脆弱なイメージがプッシュされることはありません。ライセンスは別の非ブロッキングパスでスキャンされます。

バージョニングとリリース

このプロジェクトはSemantic VersioningとConventional Commitsに従います。注目すべき変更はCHANGELOG.mdに記録されます。コントリビューションのルールはCONTRIBUTING.mdにあります。

リリースの作成

1. CHANGELOG.mdで、## [Unreleased]見出しを今日の日付の新しいバージョンに名前変更します(例: ## [1.2.3] - 2026-06-01)。その上に新しい空の## [Unreleased]を追加し、ファイル末尾のリンク参照を更新します。
2. package.jsonの"version"を同じ番号にバンプします。
3. mainにコミットし(慣習的なコミット、例: chore(release): 1.2.3)、プッシュします。
4. コミットにタグを付け、タグをプッシュします:
   root@kitploit:~

   git tag -a v1.2.3 -m "pki-toolbox v1.2.3"
   git push origin v1.2.3
   

パイプライン

Lint、ユニットテスト、エンドツーエンドテストはすべてのプッシュで実行されます。スキャン、ビルド、リリースの各ステージは、共有のYouKyi-Infra/ci-infrastructure/ci-catalogコンポーネント(trivy-scan、docker-build、gitlab-release)から取得され、.gitlab-ci.ymlでバージョンによって固定されています。

vX.Y.Zタグはチェーン全体を実行します: スキャン、イメージビルド、イメージスキャン、GitLabレジストリと公開ミラー(ghcr.io、Docker Hub)へのvX.Y.Zのプッシュ、そしてノートがCHANGELOG.mdから抽出された一致する## [X.Y.Z]セクションであるGitLab Release(空のセクションは空のノートを公開するのではなくジョブを失敗させます)。

mainへのプッシュはリリースステップを除いた同じパイプラインを実行し、イメージジョブはビルドに影響するファイルが変更された場合にのみ実行されるため、ドキュメントや設定のみのプッシュはイメージを再ビルドしません。

依存関係はRenovateによって最新に保たれ、共有のRenovate-Bot/renovate-configプリセットを拡張します(renovate.jsonを参照)。

ライセンス

MIT