Mode d’emploi
- Collez le texte PEM d’un certificat, d’une chaîne, d’un CSR ou d’une clé privée, ou cliquez sur Ouvrir un fichier pour choisir un fichier .pem, .crt, .cer ou .key (le DER fonctionne aussi).
- Chaque bloc s’affiche dans sa propre carte. Les certificats indiquent les jours avant expiration ; les clés privées indiquent si elles correspondent.
- Si vous collez plusieurs certificats, la vérification de l’ordre de la chaîne apparaît en haut.
Explication des options
- Autres noms du sujet (SAN)
- Les noms pour lesquels le certificat est valide. Les navigateurs utilisent cette liste, pas le CN du sujet.
- Niveau de validation
- DV (domaine seul), OV (organisation) ou EV, lu dans les politiques du certificat.
- SPKI SHA-256
- L’empreinte de la clé publique utilisée pour l’épinglage ; elle reste identique quand vous renouvelez avec la même clé.
Quels blocs sont lus, et comment fonctionnent les vérifications
Le décodeur découpe votre texte à chaque ligne -----BEGIN …----- et gère ces étiquettes :
| Étiquette PEM | Affiché comme |
|---|---|
CERTIFICATE, X509 CERTIFICATE, TRUSTED CERTIFICATE |
Certificat |
CERTIFICATE REQUEST, NEW CERTIFICATE REQUEST |
Demande de signature de certificat (CSR) |
PRIVATE KEY, RSA PRIVATE KEY, EC PRIVATE KEY |
Clé privée |
PUBLIC KEY |
Clé publique |
ENCRYPTED PRIVATE KEY, ou une ancienne clé avec un en-tête Proc-Type: 4,ENCRYPTED |
Clé privée chiffrée (non lue) |
Toute autre étiquette est signalée comme illisible. Un texte sans aucun en-tête PEM est essayé comme du DER en base64 simple, et un fichier choisi avec Ouvrir un fichier qui contient du DER brut est identifié au mieux comme un certificat, une CSR ou une clé.
Le Niveau de validation provient des identifiants de politique de certificat définis par le CA/Browser Forum :
| OID de politique | Niveau |
|---|---|
| 2.23.140.1.2.1 | DV (validation du domaine) |
| 2.23.140.1.2.2 | OV (validation de l’organisation) |
| 2.23.140.1.2.3 | IV (validation de l’individu) |
| 2.23.140.1.1 | EV (validation étendue) |
Un certificat sans aucune de ces politiques n’affiche aucun niveau de validation. Les algorithmes de signature commençant par MD5 ou SHA-1 sont signalés, car les navigateurs ne leur font plus confiance.
Quand plusieurs certificats sont collés, la vérification de la chaîne compare uniquement les noms : l’émetteur de chaque certificat doit être le sujet du certificat suivant. Elle signale un mauvais ordre, un certificat répété et une racine autosignée incluse dans la chaîne. Elle ne vérifie ni les signatures ni la confiance : une chaîne peut donc réussir ici et échouer quand même sur un vrai serveur.
Questions fréquentes
Comment vérifier qu’une clé privée correspond à un certificat ?
Collez les deux. L’outil compare la clé publique contenue dans la clé privée à celle du certificat. Utilisez-le quand nginx signale « key values mismatch ».
Dans quel ordre une chaîne de certificats doit-elle être ?
D’abord le certificat du serveur, puis l’intermédiaire qui l’a émis, et ainsi de suite en remontant la chaîne. La racine est en général omise. Un mauvais ordre fait échouer certains clients.
Est-il sûr de coller une clé privée ?
Tout est analysé dans votre navigateur et rien n’est envoyé à un serveur. Les clés protégées par mot de passe ne sont pas analysées.
Vérifie-t-il la confiance ou la révocation ?
Non, il lit seulement le fichier. Pour vérifier le certificat servi par un site en ligne, utilisez le Vérificateur de certificat SSL.
Confidentialité
Cet outil fonctionne entièrement dans votre navigateur. Vos fichiers et vos textes sont traités sur votre appareil et ne sont jamais envoyés à nos serveurs.