Correspondance entre clé privée et certificat

Oui. Cette erreur, comme le « Unable to configure RSA server private key » d'Apache, signifie que le serveur a chargé un certificat et une clé dont les clés publiques diffèrent. Cet outil vous dit quelle paire est fautive avant de redémarrer le serveur, et si les deux fichiers relèvent seulement du même algorithme.

La recette classique exécute openssl rsa -modulus et openssl x509 -modulus puis compare le MD5 de chacun. Cela marche, mais seulement pour RSA : avec une clé EC, openssl n'affiche aucun module, deux chaînes vides ont le même condensat et la vérification semble réussir pour n'importe quelle paire. Comparer la SubjectPublicKeyInfo complète n'a pas cet angle mort.

Oui, dans les trois formes courantes : PKCS#8 chiffré moderne, l'ancien PEM OpenSSL avec en-tête « Proc-Type: 4,ENCRYPTED », et les paquets .pfx / .p12 — y compris d'anciens exports Windows en RC2-40 que les outils fondés sur le navigateur ne lisent normalement pas du tout.

L'un des deux provient d'une autre émission. La cause habituelle est un renouvellement où une nouvelle clé a été générée alors que l'ancien certificat est toujours déployé, ou l'inverse. Si vous avez encore le CSR envoyé à l'AC, comparez-lui la clé : si cela correspond, le certificat qu'on vous a remis appartient à une autre demande et il vous faut le bon fichier auprès de votre AC. Sinon, la clé a été remplacée et le certificat doit être réémis à partir de celle que vous détenez.