Décodeur CSR
Décodez une demande de signature de certificat PKCS #10 avant de l'envoyer à une autorité de certification. Collez le bloc PEM ou le DER en base64 pour afficher le sujet, le type et la taille de la clé publique, l'algorithme de signature, la validité de l'auto-signature de la demande, l'empreinte SPKI SHA-256 et les extensions demandées, telles que les noms alternatifs du sujet, l'utilisation de la clé, l'utilisation étendue de la clé et les contraintes de base.
Foire aux questions
Qu'est-ce qu'une demande de signature de certificat ?
Une CSR est une structure PKCS #10 qui contient votre clé publique, le nom du sujet souhaité dans le certificat et des extensions facultatives, et qui est signée avec votre clé privée. Une autorité de certification la lit pour délivrer le certificat. La clé privée ne quitte jamais votre serveur.
Quels formats d’entrée sont acceptés ?
Collez le bloc PEM qui commence par -----BEGIN CERTIFICATE REQUEST----- ou l'ancienne forme -----BEGIN NEW CERTIFICATE REQUEST-----, ou les données DER brutes encodées en base64 sans en-têtes. Seule la première demande de l'entrée est décodée.
Que m'indique la vérification de la signature ?
Une CSR est signée avec la clé privée correspondant à la clé publique qu'elle contient. Une signature valide prouve que la demande a été créée par la personne qui détient cette clé privée et qu'elle n'a pas été modifiée depuis. Une signature invalide signifie généralement que le fichier a été modifié ou endommagé.
Pourquoi ma CSR n'affiche-t-elle aucun nom alternatif du sujet ?
Les navigateurs ignorent le nom commun et exigent que les domaines figurent dans l'extension de nom alternatif du sujet. Si le décodeur n'en indique aucun, la demande ne contient pas d'attribut extensionRequest. De nombreuses autorités de certification ajoutent elles-mêmes les noms, mais avec OpenSSL, vous pouvez les ajouter avec -addext "subjectAltName=DNS:example.com,DNS:www.example.com".
Qu'est-ce que l'empreinte SPKI ?
Il s'agit de l'empreinte SHA-256 base64 du SubjectPublicKeyInfo de la demande. Le certificat délivré à partir de cette CSR contiendra la même clé publique et aura donc la même empreinte, ce qui vous permet de confirmer qu'un certificat correspond à votre clé.
Quels types de clés sont reconnus ?
Les demandes RSA affichent la taille de leur module, les demandes EC affichent leur courbe, telle que P-256 ou P-384, et les clés Ed25519 et Ed448 sont nommées directement. L'algorithme de signature est affiché avec son hachage, par exemple RSASSA-PKCS1-v1_5 avec SHA-256 ou ECDSA avec SHA-384.
Les attributs tels que le mot de passe de défi sont-ils affichés ?
Les attributs autres que la demande d'extension sont répertoriés par nom. Le mot de passe de défi est signalé comme défini, mais sa valeur n'apparaît pas dans le résultat. Les attributs inconnus sont affichés avec leur identifiant d'objet.
Que sont les extensions critiques ?
Toute extension marquée comme critique doit être comprise par tout logiciel qui traite le certificat, faute de quoi celui-ci est rejeté. Le décodeur signale ces extensions, notamment les contraintes de base et l'utilisation des clés.
La CSR est-elle stockée ?
Non. La demande est décodée en mémoire et n'est jamais consignée ni enregistrée. Une CSR ne contient que des données publiques : son décodage en ligne n'expose donc pas votre clé privée.
Existe-t-il une limite de taille ?
La saisie peut contenir jusqu'à 65,536 caractères, bien plus que nécessaire pour une CSR ordinaire. Une demande RSA 2048 typique fait environ 1,000 caractères au format PEM.