Décodeur de certificat SSL et visionneuse X.509

Un outil en ligne pour lire les certificats X.509 / SSL. Il décode tous les champs — sujet, émetteur, validité, Subject Alternative Names, usage de clé, extensions, preuves Certificate Transparency — puis explique lesquels posent problème. Il accepte PEM, DER, base64, hexadécimal, une chaîne entière ou une demande de signature, et détermine de lui-même ce que vous avez collé.

Mode d'emploi

Collez ou déposez

Collez le texte du certificat, déposez un fichier .crt/.cer/.der/.pem sur le cadre ou choisissez-le avec le bouton. Plusieurs fichiers à la fois sont lus comme une seule chaîne.

Ajoutez un nom d'hôte

Facultatif. Saisissez le domaine que le certificat doit servir : il confirmera que le nom est réellement couvert.

Lisez d'abord le verdict

Les problèmes précèdent les détails, du plus grave au moins grave. Les vérifications réussies sont repliées, si bien qu'un certificat sain se lit comme « rien de cassé ».

Puis creusez les champs

Sous le verdict, tout est déplié : noms, sujet, émetteur, clé, empreintes et chaque extension décodée plutôt que vidée en hexadécimal.

Collez un certificat et voyez exactement ce qu'il couvre, quand il expire et ce qui cassera

Certificat, chaîne ou CSR

Collez ci-dessus, déposez un fichier sur ce cadre ou

Ou récupérer le certificat directement depuis un site

Nom d'hôte à vérifier (facultatif)

Vérifie que le certificat couvre réellement ce nom, avec les règles appliquées par les navigateurs : SAN uniquement, jokers d'une seule étiquette.

Fonctions

Il explique, il ne se contente pas de décoder

N'importe quelle visionneuse affiche « Signature Algorithm: sha1WithRSA ». Celle-ci vous dit que les navigateurs rejettent SHA-1 depuis 2017, et quoi faire à la place. Une quarantaine de vérifications couvrent l'expiration, la robustesse des clés, le nommage, les contraintes et l'hygiène des AC.

Il lit ce que vous avez vraiment

PEM, DER brut, base64 sans en-tête, un vidage hexadécimal, un secret Kubernetes (base64 d'un PEM), une chaîne JSON avec des \n littéraux, un bloc YAML indenté. Il indique comment il a lu l'entrée, si bien qu'un résultat surprenant s'explique de lui-même.

Vérification du nom selon les règles des navigateurs

Saisissez un nom d'hôte et ce sont les règles réellement appliquées qui s'exercent : SAN uniquement — Chrome ignore le Common Name depuis la version 58 — et jokers couvrant exactement une étiquette.

Des chaînes entières d'un coup

Collez un fichier fullchain : les certificats sont ordonnés, chaque signature vérifiée, le certificat final, les intermédiaires et la racine repérés, et l'émetteur nommé s'il en manque un.

Certificate Transparency décodé

Les preuves SCT sont une structure TLS et non de l'ASN.1, d'où l'affichage en pâté hexadécimal chez les autres décodeurs. Ici vous obtenez les identifiants de journaux et les horodatages.

L'empreinte qui survit au renouvellement

À côté des empreintes SHA-256 et SHA-1, l'épingle de clé publique (pin-sha256) est calculée : elle ne change pas lors d'une réémission qui conserve la clé — c'est la valeur nécessaire à l'épinglage et aux contrôles de type HPKP.

Questions fréquentes

Mon certificat porte le bon domaine dans le Common Name : pourquoi dit-il que le nom n'est pas couvert ?

Parce que les navigateurs ne lisent plus le Common Name. Chrome a supprimé ce repli en version 58 (2017) et les autres ont suivi ; aujourd'hui seule l'extension Subject Alternative Name compte. Un certificat dont le domaine ne figure que dans le CN sera rejeté avec NET::ERR_CERT_COMMON_NAME_INVALID, si correct que paraisse le CN. Le remède : réémettre avec les noms dans l'extension SAN.

Pourquoi mon site fonctionne-t-il sous Chrome mais échoue-t-il sous Android ou dans curl ?

Presque toujours parce qu'un certificat intermédiaire manque. Les navigateurs de bureau masquent le problème : ils mettent en cache les intermédiaires vus sur d'autres sites et peuvent télécharger celui qui manque via AIA. Android, curl, Java et la plupart des clients d'API ne font ni l'un ni l'autre et voient une chaîne qui n'atteint aucune racine de confiance. Collez ici votre chaîne complète : si la section chaîne signale un intermédiaire manquant, c'est votre bogue.

Quels formats puis-je coller ?

PEM (la forme -----BEGIN CERTIFICATE-----), des fichiers binaires DER, du base64 sans en-tête, un vidage hexadécimal, et plusieurs des formes abîmées sous lesquelles arrivent les certificats : un PEM encapsulé en base64 depuis un secret Kubernetes, une chaîne JSON ou Terraform avec des \n littéraux, ou un bloc YAML indenté. L'outil indique la forme reconnue.

Peut-il lire une demande de signature ou une clé privée ?

Un CSR oui : il est décodé et son auto-signature vérifiée, ce que la plupart des décodeurs de CSR omettent. Une clé privée est reconnue et identifiée, mais l'outil vous renvoie vers celui qui convient : la comparaison clé/certificat ou le convertisseur de formats.

Qu'est-ce que l'épingle de clé publique et quand en ai-je besoin ?

C'est un condensat SHA-256 de la clé publique plutôt que du certificat entier. Comme elle ne couvre que la clé, elle reste identique lorsqu'un certificat est renouvelé avec la même clé — d'où son utilité pour l'épinglage, pour une surveillance de type Expect-CT et pour confirmer qu'un renouvellement a bien réutilisé l'ancienne clé. L'empreinte SHA-256 ordinaire, elle, change à chaque réémission.

Pourquoi avertit-il à propos d'un certificat valable plusieurs années ?

Les certificats de confiance publique ont une durée maximale imposée par les navigateurs, et elle diminue : 825 jours, puis 398 depuis septembre 2020, avec de nouvelles réductions programmées par le CA/Browser Forum. Un certificat public émis pour plus longtemps que la limite en vigueur à son émission sera purement et simplement rejeté. Pour une AC privée ou interne la limite ne s'applique pas, et l'outil ne la soulève que si le certificat paraît émis publiquement.

Décodeur de certificat SSL et visionneuse X.509

Mode d'emploi

Collez un certificat et voyez exactement ce qu'il couvre, quand il expire et ce qui cassera

Fonctions

Questions fréquentes

Mon certificat porte le bon domaine dans le Common Name : pourquoi dit-il que le nom n'est pas couvert ?

Pourquoi mon site fonctionne-t-il sous Chrome mais échoue-t-il sous Android ou dans curl ?

Quels formats puis-je coller ?

Peut-il lire une demande de signature ou une clé privée ?

Qu'est-ce que l'épingle de clé publique et quand en ai-je besoin ?

Pourquoi avertit-il à propos d'un certificat valable plusieurs années ?

Comment évaluez-vous cet outil ?

Commentaires

Décodeur de certificat SSL et visionneuse X.509

Mode d'emploi

Collez un certificat et voyez exactement ce qu'il couvre, quand il expire et ce qui cassera

Fonctions

Questions fréquentes

Mon certificat porte le bon domaine dans le Common Name : pourquoi dit-il que le nom n'est pas couvert ?

Pourquoi mon site fonctionne-t-il sous Chrome mais échoue-t-il sous Android ou dans curl ?

Quels formats puis-je coller ?

Peut-il lire une demande de signature ou une clé privée ?

Qu'est-ce que l'épingle de clé publique et quand en ai-je besoin ?

Pourquoi avertit-il à propos d'un certificat valable plusieurs années ?

Vous aimerez peut-être aussi

Comment évaluez-vous cet outil ?

Commentaires