Utilia
Catégories ▾
Langue: fr ▾

Décodeur de certificat X.509

Décodez un certificat SSL/TLS, une chaîne ou une CSR dans le navigateur : sujet, émetteur, date d’expiration, SAN, usages de la clé et empreinte SHA-256.

Les certificats sont décodés dans votre navigateur. Rien n’est envoyé : vos certificats internes et vos CSR restent sur votre ordinateur.

Cet outil lit le certificat mais ne vérifie ni sa signature ni sa chaîne de confiance : un certificat décodé n’est pas une preuve d’authenticité.

Comment décoder un certificat

  1. Collez un certificat dans Certificat, chaîne ou CSR (PEM ou Base64), ou déposez un fichier dans la zone prévue. Le texte PEM (-----BEGIN CERTIFICATE-----), le DER binaire (.der, .cer), les demandes de signature (.csr) et les paquets PKCS#7 (.p7b) sont acceptés.
  2. Cliquez sur Décoder. Un bloc PEM collé est aussi décodé dès que sa ligne -----END …----- est complète. Charger un exemple affiche un certificat de test.
  3. Chaque certificat ou CSR a son propre tableau. Un badge indique Dates valides, Expiré ou Pas encore valide, et Copier le PEM le recopie au format PEM (pratique après l’ouverture d’un fichier DER binaire).
  4. Pour une chaîne (le certificat du serveur suivi des intermédiaires), chaque bloc est décodé dans l’ordre, et l’outil signale Émis par le certificat n lorsque l’émetteur d’un certificat correspond au sujet d’un autre certificat de la liste.

Ce que signifient les champs

  • Le Sujet et l’Émetteur sont des noms distinctifs : CN (nom commun), O (organisation), OU, L (ville), ST (province ou région), C (pays). Un certificat dont l’émetteur est identique au sujet est signalé comme Autosigné.
  • Valide à partir du et Valide jusqu’au correspondent à notBefore et notAfter, affichés dans votre fuseau horaire, avec le nombre de jours restants. Depuis 2020, les navigateurs refusent les certificats TLS publics valables plus de 398 jours, et le CA/Browser Forum réduit encore cette durée.
  • Le Numéro de série est affiché en hexadécimal (comme dans les navigateurs et OpenSSL) et en décimal.
  • Algorithme de signature et Clé publique : pour RSA, la taille du module (2048, 3072, 4096 bits) et l’exposant public (presque toujours 65537) ; pour les courbes elliptiques, la courbe (P-256, P-384…) ; Ed25519 est aussi reconnu.
  • Extensions : Subject Alternative Name (les noms d’hôte, adresses IP et adresses courriel couverts ; les navigateurs ignorent le CN et ne regardent que le SAN), Key Usage, Extended Key Usage (serverAuth, clientAuth, codeSigning…), Basic Constraints (CA: TRUE pour une autorité), identifiants de clé du sujet et de l’autorité, points de distribution des CRL, Authority Information Access (répondeur OCSP et URL de l’autorité) et politiques de certification (DV, OV, EV). Une extension marquée critique doit être comprise par tout logiciel qui utilise le certificat.
  • L’Empreinte SHA-1 et l’Empreinte SHA-256 sont calculées sur le certificat DER complet avec l’API Web Crypto du navigateur ; elles correspondent à openssl x509 -fingerprint. L’Épingle de clé publique est le SHA-256 en Base64 des informations de clé publique, le format utilisé pour l’épinglage de certificat.

Décoder n’est pas vérifier

Cet outil est un simple analyseur ASN.1/DER. Il ne contrôle pas la signature, ne remonte pas la chaîne de confiance jusqu’à une autorité racine et n’interroge ni les listes de révocation ni OCSP, ce qui exigerait un accès réseau. Servez-vous-en pour inspecter un certificat, comprendre pourquoi un nom d’hôte ne correspond pas ou savoir quand il expire, pas pour décider s’il est digne de confiance. Les clés privées sont refusées volontairement : un bloc PRIVATE KEY collé n’est pas décodé, et si vous l’avez déjà partagé, considérez-le comme compromis.

Questions fréquentes

Comment récupérer le certificat d’un site web ?

Dans la plupart des navigateurs, cliquez sur le cadenas, ouvrez la visionneuse de certificat et exportez-le en PEM. En ligne de commande, openssl s_client -connect exemple.fr:443 -showcerts affiche toute la chaîne : collez ensuite les blocs ici.

Quelle différence entre PEM et DER ?

Le DER est l’encodage binaire du certificat. Le PEM contient exactement les mêmes octets, en Base64, entre des lignes BEGIN et END, ce qui facilite le copier-coller. L’outil lit les deux formats et affiche le même contenu.

Qu’est-ce qu’une CSR ?

Une demande de signature de certificat (CSR) est ce que vous transmettez à l’autorité de certification : elle contient le sujet demandé, la clé publique et souvent les SAN souhaités. Elle n’a encore ni émetteur, ni dates de validité, ni numéro de série : c’est l’autorité qui les ajoute.

Pourquoi mon navigateur refuse-t-il le certificat alors que les dates sont bonnes ?

Les dates ne sont qu’un des contrôles. Le nom d’hôte doit figurer dans le Subject Alternative Name, la chaîne doit mener à une racine de confiance (un intermédiaire manquant est une cause fréquente), l’usage de la clé doit autoriser TLS et le certificat ne doit pas être révoqué.

Puis-je coller un certificat ici sans risque ?

Oui. Un certificat est une information publique que le serveur envoie à chaque visiteur, et cet outil le traite localement sans l’envoyer. Seules les clés privées doivent rester secrètes.

Outils similaires