Aller au contenu principal
Bethemesh
Sécurité & confidentialité

Inspecteur de certificat X.509 & CSR

Collez un certificat ou une demande de signature (CSR) PEM pour lire son sujet, son émetteur, son numéro de série, ses dates de validité et jours restants, ses SAN, son algorithme de clé et son empreinte SHA-256. Analyse locale.

  • Presse-papiers

Intégrer ce widget

Personnalisez le rendu, vérifiez l’aperçu puis copiez le code.

Aperçu

Type de code d’intégration

Code à copier

Responsive et redimensionné automatiquement par Bethemesh.

Lecture locale de la structure ASN.1 : l’outil ne vérifie ni la chaîne de confiance ni la révocation. Un fichier fullchain.pem affiche une fiche par certificat.

Cet outil vous a-t-il été utile ?

Comment fonctionne cet outil ?

Cet inspecteur décode un certificat X.509 ou une demande de signature de certificat (CSR) au format PEM et en présente un résumé lisible : sujet, émetteur, numéro de série, dates de validité, noms alternatifs, clé publique et empreinte SHA-256. Il s’adresse aux administrateurs et développeurs qui préparent, renouvellent ou déboguent un certificat TLS sans vouloir déchiffrer la sortie d’openssl.

Un fichier PEM (RFC 7468) n’est que l’encodage Base64 d’une structure binaire DER, encadrée par une ligne -----BEGIN CERTIFICATE----- ou -----BEGIN CERTIFICATE REQUEST-----. L’outil décode ce Base64 puis parcourt la structure ASN.1 dans le navigateur. Pour un certificat X.509 v3 (RFC 5280), il lit le numéro de série, l’émetteur, le sujet, la période de validité notBefore/notAfter, les informations de clé publique (par exemple RSA 2048 bits ou EC P-256) et l’extension Subject Alternative Name, qui liste les noms DNS et adresses IP couverts. Il compare la date d’expiration à l’horloge de votre appareil pour indiquer le nombre de jours restants ou « expiré ».

Une CSR suit le format PKCS #10 (RFC 2986) : elle contient le sujet demandé, la clé publique et, le plus souvent, les SAN souhaités dans l’attribut extensionRequest, le tout signé avec la clé privée correspondante. Elle ne possède donc ni émetteur ni dates de validité, qui ne sont fixés qu’au moment où l’autorité de certification signe le certificat. L’empreinte SHA-256 est calculée avec Web Crypto sur les octets DER complets : c’est la même valeur que openssl x509 -noout -fingerprint -sha256 ou que la vue « Empreinte » d’un navigateur, aux deux-points et à la casse près. Le résumé peut être exporté en JSON ; l’outil ne vérifie en revanche ni la chaîne de confiance ni la révocation.

Comment utiliser cet outil ?

  1. Collez ou importez le PEM

    Collez le bloc -----BEGIN CERTIFICATE----- ou -----BEGIN CERTIFICATE REQUEST-----, ou importez un fichier .pem, .crt, .cer ou .csr au format texte.

  2. Lancez l’inspection

    L’outil détecte s’il s’agit d’un certificat ou d’une CSR et affiche le résumé : sujet, émetteur, numéro de série, dates avec jours restants, algorithme de clé, SAN et empreinte SHA-256.

  3. Contrôlez et exportez

    Vérifiez les noms, les dates et la clé, puis copiez ou exportez le résumé en JSON pour votre documentation ou votre ticket.

Jours avant expiration

Jours avant expiration

jours entiers restants = partie entière((horodatage d’expiration − horodatage actuel) / 86 400 000 millisecondes)

Cas d'utilisation

Relire une CSR avant de l’envoyer à l’autorité de certification

Vérifiez que la CSR générée par votre serveur ou votre panneau d’hébergement contient le bon nom commun, tous les SAN nécessaires (avec et sans www) et une clé suffisante avant de payer ou de lancer l’émission.

Savoir quand expire un certificat

Collez le certificat reçu par e-mail ou récupéré sur un serveur pour voir sa date de fin et le nombre de jours restants, et planifier le renouvellement à temps.

Identifier le bon certificat parmi plusieurs fichiers

Face à plusieurs fichiers .crt ou .pem, comparez sujet, émetteur, numéro de série et empreinte SHA-256 pour savoir lequel est le certificat serveur, lequel est l’intermédiaire et lequel est réellement déployé.

Exemples

Rejet d’une clé privée au format PEM

Entrée

-----BEGIN PRIVATE KEY-----
AA==
-----END PRIVATE KEY-----

Résultat

Type non pris en charge : cet inspecteur accepte les certificats X.509 et les demandes de signature (CSR), pas les clés privées.

Conseils et bonnes pratiques

  • Les navigateurs ignorent le nom commun (CN) et ne regardent que les SAN : si un nom d’hôte n’y figure pas, le certificat sera refusé pour ce nom même s’il apparaît dans le sujet.
  • Un fichier .cer ou .der peut être binaire : s’il ne commence pas par -----BEGIN, convertissez-le d’abord en PEM avec openssl x509 -inform der -in cert.der -out cert.pem.
  • Un fullchain.pem contient plusieurs certificats à la suite, le certificat serveur en premier : collez uniquement le bloc que vous voulez inspecter, et ne collez jamais une clé privée (-----BEGIN PRIVATE KEY-----), inutile ici.

Sources et références

Questions fréquentes

Quelle différence entre une CSR et un certificat ?

La CSR est la demande : elle contient le sujet, la clé publique et les noms souhaités, et elle est signée par votre propre clé privée. Le certificat est la réponse de l’autorité de certification : il reprend ces informations, y ajoute un émetteur, un numéro de série et des dates de validité, et il est signé par l’autorité. La clé privée, elle, ne quitte jamais votre serveur.

Comment connaître la date d’expiration d’un certificat ?

La date d’expiration est le champ notAfter de la période de validité. Collez le certificat ici pour la lire avec le nombre de jours restants, ou utilisez openssl x509 -noout -enddate -in cert.pem en ligne de commande. Pour un site en ligne, le navigateur l’affiche aussi dans les détails du cadenas.

Qu’est-ce que le Subject Alternative Name (SAN) ?

C’est l’extension X.509 qui liste tous les noms DNS et adresses IP pour lesquels le certificat est valable, par exemple example.com et www.example.com. Depuis que Chrome l’exige (2017) et selon les Baseline Requirements du CA/Browser Forum, c’est la seule liste prise en compte pour valider un nom d’hôte. Un certificat générique *.example.com couvre les sous-domaines d’un seul niveau, mais pas example.com lui-même.

À quoi sert l’empreinte SHA-256 d’un certificat ?

L’empreinte est le SHA-256 de l’ensemble du certificat encodé en DER : elle identifie un certificat de façon unique, sans le recopier en entier. Elle sert à vérifier qu’un certificat déployé est bien celui attendu, à l’épingler dans une application ou à le retrouver dans les journaux Certificate Transparency. Elle n’est pas stockée dans le certificat, elle est recalculée à chaque fois.

L’outil vérifie-t-il que le certificat est valide et de confiance ?

Non. Il décode le contenu et compare les dates à votre horloge, mais il ne vérifie ni la signature de l’autorité, ni la chaîne jusqu’à une racine de confiance, ni la révocation (OCSP ou CRL). Pour cela, utilisez openssl verify avec la chaîne complète ou un test de serveur comme SSL Labs.

Quelle est la durée maximale d’un certificat TLS en 2026 ?

Depuis le 15 mars 2026, les certificats TLS publics sont limités à 200 jours, contre 398 auparavant, selon le vote SC-081 du CA/Browser Forum. La limite passera à 100 jours le 15 mars 2027, puis à 47 jours le 15 mars 2029. Automatiser le renouvellement, par exemple avec ACME, devient donc indispensable.

Outils associés

Continuez avec ces outils

Des outils similaires ou complémentaires à celui-ci.

Outils similaires

Comparateur de hash

Vérifiez si deux hash ou sommes de contrôle correspondent, quels que soient la casse, les espaces ou les deux-points.

Sécurité & confidentialitéUtiliser l’outil

Inspecteur JWK / JWKS

Analysez une clé JWK ou un JWKS : kid, kty, alg, use, empreinte RFC 7638 et alerte si une clé privée est exposée.

Sécurité & confidentialitéUtiliser l’outil

Générateur d’en-têtes de sécurité

Générez HSTS, nosniff, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP et X-Frame-Options pour Nginx ou Apache.

Sécurité & confidentialitéUtiliser l’outil

À lire aussi