Décodeur de certificats X.509

Comment ça marche

• Chaque bloc -----BEGIN CERTIFICATE----- et -----BEGIN CERTIFICATE REQUEST----- est décodé dans l’ordre ; les clés privées et autres blocs PEM présents dans le collage sont comptés et laissés de côté.
• Pour une chaîne dans l’ordre habituel, certificat final en tête, le nom d’émetteur de chaque certificat est comparé au sujet du suivant et sa signature est vérifiée avec la clé publique du certificat suivant.
• Les empreintes sont le SHA-1 et le SHA-256 des octets DER, affichés en hexadécimal séparé par des deux-points, donc directement comparables à ceux des navigateurs, d’openssl et des configurations d’épinglage de certificat.
• L’autosignature d’un CSR est vérifiée elle aussi, ce qui repère une demande modifiée ou copiée incomplètement avant que vous ne payiez une AC pour elle.

Questions fréquentes

Cela m’indique-t-il si le certificat est de confiance ?

Non. L’outil lit ce que dit le certificat et vérifie les signatures entre les certificats que vous collez, mais il ne contrôle ni la révocation (OCSP ou CRL) ni la présence de la racine dans le magasin de confiance d’un navigateur — deux vérifications qui exigent le réseau ou une liste de confiance. Pour un site en ligne, le navigateur rend lui-même ce verdict (le panneau Sécurité de ses outils de développement l’explique), et un scanner comme SSL Labs contrôle toute la configuration.

Pourquoi mon navigateur refuse-t-il un certificat dont le CN correspond au domaine ?

Parce que les navigateurs comparent les noms d’hôte uniquement aux noms alternatifs du sujet et ignorent le nom commun depuis des années ; Chrome a cessé de l’utiliser en 2017. Si la liste des SAN affichée ici ne contient pas l’hôte exact (ou un joker couvrant un niveau de celui-ci), le certificat échouera, quel que soit le CN.

Quelle durée de validité maximale pour un certificat TLS public aujourd’hui ?

Bien plus courte qu’autrefois. Le CA/Browser Forum a voté une réduction par étapes de la durée maximale, jusqu’à 47 jours en 2029 : c’est pourquoi le renouvellement automatique avec des clients ACME comme certbot est devenu la norme pour exploiter TLS. Le nombre de jours restants affiché ici vous aide à repérer un certificat oublié par l’automatisation.

Dans quel ordre ranger un fichier de chaîne ?

Le certificat final d’abord, puis chaque intermédiaire, chacun signé par le suivant ; la racine est normalement omise, car les clients l’ont déjà. La ligne « Issued by next » montre où l’ordre est faux ou un intermédiaire manquant — la raison la plus fréquente pour laquelle un site fonctionne dans un navigateur et échoue avec curl ou sur un ancien Android.

Est-il sûr de coller des certificats ici ?

Les certificats sont publics par nature — chaque client TLS les reçoit —, ils ne contiennent donc rien de secret. Ne collez pas de clés privées : cet outil n’en a pas besoin et ignore celles qu’il trouve.

Aussi appelé

• décodeur de certificat
• décodeur x509
• lire certificat PEM
• vérifier certificat SSL
• décoder CSR
• empreinte certificat SHA256