Décodeur de certificats
Lisez un certificat X.509 ou une chaîne contenant jusqu'à 10 certificats au format PEM ou DER en base64. Pour chaque certificat, le décodeur affiche le sujet, l'émetteur, le numéro de série, les dates de validité et le nombre de jours restants, la clé publique, l'algorithme de signature, les noms alternatifs du sujet, l'utilisation des clés, les contraintes, les emplacements CRL et OCSP, les empreintes SHA-256 et SHA-1 ainsi que l'empreinte SPKI, et vérifie s'il est auto-signé ou signé par le certificat suivant.
Foire aux questions
Quels formats d'entrée le décodeur accepte-t-il ?
Collez un ou plusieurs blocs PEM commençant par -----BEGIN CERTIFICATE-----, comme dans les fichiers .pem, .crt et fullchain, ou un seul certificat au format DER en base64 sans en-têtes. Jusqu'à 10 certificats sont décodés dans l'ordre où vous les collez.
Comment le statut est-il calculé ?
Le décodeur compare l'heure actuelle aux dates notBefore et notAfter et indique si le certificat est valide, expiré ou pas encore valide, avec le nombre de jours entiers restants ou écoulés. Les dates sont affichées au format UTC en ISO 8601.
Que signifie « signé par le certificat suivant » ?
Dans une chaîne, la signature de chaque certificat est vérifiée à l'aide de la clé publique du certificat qui le suit, ce qui permet d'ordonner le certificat feuille, le certificat intermédiaire et le certificat racine. Une réponse négative signifie que l'ordre est incorrect ou que la chaîne est incomplète. Il s'agit uniquement d'une vérification de signature, et non d'une validation complète du chemin par rapport à un magasin de confiance, à la révocation ou aux contraintes de nom.
Comment détecter un certificat auto-signé ?
Un certificat est considéré comme auto-signé lorsque son émetteur est identique à son sujet et que sa signature est vérifiée à l'aide de sa propre clé publique. Les certificats racine sont auto-signés, tout comme de nombreux certificats de test et internes.
Quelles empreintes sont affichées ?
Les empreintes SHA-256 et SHA-1 sont des hachages du certificat complet encodé en DER, affichés sous forme de paires hexadécimales majuscules séparées par des deux-points, comme les valeurs affichées par les navigateurs et openssl x509 -fingerprint. Il faut comparer SHA-256, car SHA-1 ne résiste plus aux collisions.
À quoi sert l'empreinte SPKI ?
Il s'agit du hachage SHA-256 en base64 du SubjectPublicKeyInfo du certificat. Cette valeur est utilisée pour l'épinglage de clé publique HTTP, la configuration de sécurité réseau d'Android et de nombreuses bibliothèques d'épinglage mobiles. Elle reste identique lors du renouvellement d'un certificat avec la même clé.
Quelles extensions sont expliquées ?
Les noms alternatifs du sujet et de l'émetteur, l'utilisation des clés, l'utilisation étendue des clés, les contraintes de base et la longueur de chemin, les identifiants de clé du sujet et de l'autorité, les points de distribution CRL, les informations d'accès à l'autorité avec les URL OCSP et des autorités de certification, ainsi que les politiques de certificat et les marqueurs DV, OV, IV et EV du CA/Browser Forum. Les autres extensions sont répertoriées par nom ou identifiant d'objet.
Comment obtenir le certificat d'un site web ?
Exécutez openssl s_client -connect example.com:443 -showcerts et copiez les blocs PEM du résultat, ou exportez le certificat depuis la visionneuse de certificats de votre navigateur. Le SSL Certificate Checker peut également rechercher le certificat d'un site.
Le certificat est-il stocké ?
Non. Les certificats sont décodés en mémoire pour traiter votre demande et ne sont jamais consignés ni enregistrés. Ils ne contiennent que des données publiques ; ne collez donc jamais la clé privée correspondante ici.
Quelles sont les limites ?
La saisie peut contenir jusqu'à 131,072 caractères et au maximum 10 certificats. Les blocs OpenSSL TRUSTED CERTIFICATE ne sont pas acceptés ; convertissez-les d'abord avec openssl x509 -in cert.pem -out plain.pem.