Зачем нужен ECDSA.com?
ECDSA подписывает большую часть современного интернета: TLS, SSH, JWT, ключи доступа, Bitcoin и Ethereum. Когда подпись не проходит проверку, причина редко очевидна: подпись в DER там, где ждали raw r‖s, не тот хеш, не та кривая, значение high-S, сообщение, захешированное дважды. А то, что нужно вставить для отладки, — ключи, токены, сертификаты — как раз то, что никуда отправлять не хочется.
ECDSA.com — бесплатная Лаборатория из 91 инструмента в 10 категориях: от подписей и JWT до сертификатов, TLS, DKIM, Web3, постквантовой криптографии, ключей доступа, подписи кода и OpenPGP. Вставьте данные — инструмент сам определит кривую, формат и кодировку, проверит их и объяснит, что на самом деле не так, а не просто ответит «верно» или «неверно». 64 инструмента работают полностью в браузере; остальные запрашивают общедоступные данные и на своей странице указывают, что именно отправляют. Без аккаунта, без оплаты и без пробного периода.
Как устроена Лаборатория
Лаборатория устроена как верстак, а не как веб-сервис: страница — это и есть весь механизм.
Вставьте данные
Открытый ключ, JWT, сертификат, упрямая подпись — всё, что не проходит проверку. Без регистрации и без кнопки загрузки.
Анализ в браузере
Кривые, форматы и кодировки определяются автоматически и проверяются прямо во вкладке. Ваши ключи и подписи остаются на вашем устройстве.
Ответ с объяснением причин
Не просто «верно» или «неверно»: инструменты проверяют типичные причины несовпадения и простым языком объясняют, что именно сломалось.
Дальше — из кода
Запускайте те же проверки из скриптов и CI через бесплатный API, передайте их ИИ-ассистенту через MCP или просканируйте репозиторий и оцените домен.
Из кода, CI и ИИ-агентов
Проверки, на которых работают инструменты, доступны и вашим скриптам, пайплайнам и ассистентам — бесплатно и без API-ключа.
Бесплатный REST API
Проверка подписей ECDSA и JWT, преобразование DER ⇄ raw, декодирование сертификатов и оценка домена — обычный JSON по HTTPS, 60 запросов в минуту с одного IP, CORS открыт.
MCP-сервер
Подключите Claude Code, Cursor, VS Code или любой MCP-клиент по одному адресу — и проверка подписей, декодирование JWT и сертификатов, оценка доменов и поиск по справочнику станут инструментами вашего ассистента. Ключ не нужен.
Сканер репозиториев
npx ecdsa-scan . находит все места, где ваш код подписывает или проверяет подписи, и то, что там незаметно не так, — в JavaScript, TypeScript, Python и Go. Находки ранжированы по степени уверенности, вывод в SARIF и JSON — для GitHub Code Scanning и Bitbucket Pipelines.
Готовность к постквантовому переходу
Проект плана перехода NIST объявляет RSA-2048 и P-224 устаревшими после 2030 года и запрещает классические подписи — ECDSA, EdDSA и RSA — после 2035-го. Тем временем срок действия TLS-сертификатов к 2029 году сократится до 47 дней. ECDSA.com показывает, где вы сейчас.
Планировщик миграции на PQC
Ответьте на десять вопросов о своём стеке и получите план миграции с приоритетами, привязанный к срокам из проекта NIST. План строится локально в браузере и экспортируется в Markdown или PDF.
Состояние подписей домена
Одно сканирование проверяет цепочку сертификатов домена, алгоритмы ключей и подписей, версии протокола, сроки действия и готовность к постквантовым алгоритмам — с оценкой от A+ до F и бейджем для README.
Оповещения и «Мои домены»
Получайте письмо до того, как истечёт сертификат домена, и держите в браузере список до 25 доменов с оценками и датами истечения.
Ключевые возможности
91 бесплатный инструмент в 10 категориях
Подписи, JOSE и JWT, сертификаты и ключи, TLS и DNS, почта (DKIM), Web3, постквантовая криптография, удостоверения и ключи доступа, подпись кода и документов, OpenPGP — без аккаунта, оплаты и пробного периода.
Локально по замыслу
64 из 91 инструмента работают полностью в браузере и ничего не отправляют. Остальные запрашивают только общедоступные данные и на своей странице указывают, что именно отправляют.
Ошибки с объяснением
Кривые, форматы и кодировки определяются автоматически. Если подпись не проходит проверку, инструменты перебирают типичные причины — не тот хеш, не та кривая, DER вместо raw, high-S — и объясняют, что сломалось.
Бесплатные API и MCP-сервер
Проверяйте подписи и JWT, преобразуйте форматы, декодируйте сертификаты и оценивайте домены из скриптов и CI через обычный JSON или из ИИ-ассистентов через MCP — без ключа.
Сканер репозиториев для CI
npx ecdsa-scan . находит ошибки в коде подписи на JavaScript, TypeScript, Python и Go, ранжирует их по степени уверенности и выдаёт SARIF для code scanning. Сборку останавливают только подтверждённые находки.
Готовность к постквантовому переходу
Планировщик миграции из 10 вопросов по срокам из проекта NIST, оценка состояния подписей домена от A+ до F с бейджами для README и оповещения об истечении сертификатов по почте.
Учиться и следить за новостями
Помимо инструментов — справочник, курс и исследования, всё бесплатно.
- «Подписи вручную» — бесплатный курс из 7 уроков: вычислите ECDSA сами, а затем подпишите и проверьте подпись на P-256
- Справочник: глоссарий, база реальных сообщений об ошибках библиотек с причинами и решениями, рецепты с рабочим кодом, сравнения
- «Подписи в вебе: положение дел» — ежемесячный отчёт о TLS самых посещаемых доменов с открытыми данными
- «Подписи за неделю» — еженедельная рассылка об инцидентах с сертификатами, уязвимостях в коде подписей и постквантовых новостях
- Практические руководства — от ошибок проверки JWT до миграции на постквантовые алгоритмы
Сценарии использования
- Отладка подписи или JWT, которые не проходят проверку
- Проверка сертификатов и настроек TLS ваших доменов
- Остановка сборки в CI при ошибках подписи в коде
- Планирование перехода на постквантовые подписи
Частые вопросы
Q.Всё действительно работает локально?
Да, для всего, что вы вставляете в инструмент: 64 из 91 инструмента проверяют, декодируют и преобразуют данные прямо во вкладке браузера и ничего не отправляют. Остальным нужно запрашивать общедоступные данные — домен, URL, адрес, — и каждый указывает на своей странице, что именно отправляет. Закрытый ключ не нужен ни одному из них.
Q.Почему этим инструментам можно доверять?
По большей части доверять и не нужно: ключи, токены и подписи остаются на странице. Кроме того, инструменты построены на стандартных примитивах и проверены на эталонных тестовых векторах, в том числе заведомо некорректных.
Q.Какие сроки ставит NIST?
NIST IR 8547 — пока это первоначальный публичный проект — предусматривает запрет классических подписей (ECDSA, EdDSA и RSA) после 2035 года в пользу постквантовых алгоритмов, таких как ML-DSA. Раньше, после 2030 года, устаревшими становятся только самые слабые наборы параметров — RSA-2048 и P-224. У P-256, P-384 и RSA-3072 рубежа 2030 года нет.
Q.Вы что-нибудь храните?
Ничего из того, что вы вставляете в инструменты. Хранится только то, что вы отправляете намеренно: адрес почты, если вы подписались на рассылку или на оповещения об истечении сертификатов, и результаты сканирования общедоступных доменов, которые кешируются на час.
Q.Какие кривые поддерживаются?
Кривые NIST P-256, P-384 и P-521, а также secp256k1, которую используют Bitcoin и Ethereum, с хешами SHA-256/384/512. Для JWT — ES256, ES384 и ES512. Обе кодировки подписи, ASN.1 DER и raw r‖s, определяются автоматически.
Q.Можно ли пользоваться из кода или через ИИ-ассистента?
Да. Бесплатному REST API не нужен ключ, лимит — 60 запросов в минуту с одного IP. ИИ-ассистенты вроде Claude Code, Cursor или VS Code подключаются к MCP-серверу, тоже без ключа. Сканер репозиториев запускается через npx — без установки и аккаунта.
Q.Что будет дальше?
Лаборатория останется бесплатной. Вокруг неё строится платформа: сканер репозиториев уже доступен, инвентаризация ключей подписи во всех окружениях в разработке, а мониторинг в среде выполнения с доступом только на чтение запланирован. Платные тарифы пока не открыты — есть только лист ожидания.
Готовы начать?
Посмотрите наши продукты или свяжитесь с нами, чтобы узнать больше.