Inspecteur de certificats et PKI
Décodez des certificats X.509 et des CSR (PEM ou DER) directement dans votre navigateur. Consultez sujet, émetteur, validité, SAN, clé publique, signature et extensions ; vérifiez l'ordre de la chaîne, la couverture du nom d'hôte et la correspondance CSR/certificat, sans rien envoyer.
- PEM / DER / chaînes
- CSR ↔ certificat
- Traitement local
- Gratuit, sans inscription
Les fichiers et le texte collé sont analysés uniquement dans cet onglet. Rien n'est envoyé et rien n'est conservé après la fermeture de l'onglet.
Ce que l'outil vérifie — et ce qu'il ne vérifie pas
Cet outil effectue uniquement des vérifications structurelles et cryptographiques locales. Il n'interroge pas les services OCSP/CRL et n'évalue pas les magasins de confiance du système ou du navigateur.
Déposez ici des certificats ou des CSR
Glissez-déposez des fichiers, choisissez-les sur votre appareil ou collez du texte PEM ci-dessous.
Formats : .pem, .crt, .cer, .der, .csr — les lots PEM contenant plusieurs certificats sont pris en charge
Jusqu'à 32 fichiers, 2 Mo chacun, 8 Mo au total.
Seuils d'expiration
Choisissez combien de jours avant l'expiration un certificat doit être signalé.
À propos de l'Inspecteur de certificats et PKI
L'Inspecteur de certificats et PKI permet de lire et de vérifier des certificats X.509 et des demandes de signature PKCS#10 (CSR). Déposez des fichiers .pem, .crt, .cer, .der ou .csr, ou collez du texte PEM, pour afficher sujet, émetteur, validité, SAN, clé publique, algorithme de signature, extensions et empreintes. L'outil ordonne aussi la chaîne fournie, vérifie un nom d'hôte et compare une CSR à son certificat.
Tout est traité dans l'onglet du navigateur : aucun fichier n'est envoyé et les clés privées sont refusées. Ce n'est pas un testeur SSL en ligne : il ne se connecte pas à votre serveur et n'analyse que les fichiers que vous lui donnez.
Certificats X.509 et CSR
Un certificat X.509 associe une clé publique à une identité (généralement des noms d'hôte en TLS) et est signé par un émetteur, le plus souvent une autorité de certification. Ses extensions définissent les noms valides (SAN), les usages autorisés et s'il peut agir comme AC.
Une CSR contient votre clé publique et les informations demandées à l'AC. En chargeant la CSR et le certificat émis, la vue Comparer vérifie la clé publique via l'empreinte SPKI et liste les différences de sujet et de SAN avant le déploiement.
SAN, noms d'hôte et chaînes
Les navigateurs comparent le nom d'hôte uniquement à l'extension SAN ; le nom commun (CN) n'est plus utilisé. La vérification indique si le nom correspond à une entrée DNS exacte, à un joker (*.example.com ne couvre qu'un seul niveau) ou à une IP, sans connexion à l'hôte.
À partir d'un fichier fullchain ou de plusieurs fichiers, la vue Chaîne ordonne les certificats de la feuille à la racine, signale les intermédiaires manquants ou un mauvais ordre et peut vérifier la signature de chaque lien. Seuls vos certificats sont utilisés.
Ce qui est vérifié — et ce qui ne l'est pas
Vérifié localement : structure, validité selon l'horloge de l'appareil (seuils réglables), couverture SAN, liens entre les certificats fournis, signatures de lien en option et correspondance de clé CSR/certificat.
Non vérifié : la confiance dans le magasin du système ou du navigateur, la révocation via OCSP/CRL, le certificat réellement servi par un serveur en ligne, les journaux CT et la conformité CA/Browser Forum. Le diagnostic automatique reste indicatif.
Confidentialité et export
L'analyse, les hachages et la vérification des signatures passent par l'API Web Crypto du navigateur, sans rien écrire dans localStorage ni IndexedDB. Si l'entrée contient un bloc PRIVATE KEY, il est écarté sans être analysé.
Exportez des rapports JSON, CSV ou HTML, convertissez entre PEM et DER avec vérification automatique, et copiez les commandes openssl x509 / req / verify équivalentes, générées uniquement sous forme de texte.
Questions fréquentes
Mes certificats ou CSR sont-ils envoyés à un serveur ?
Non. Toute l'analyse a lieu dans l'onglet du navigateur ; les fichiers ne quittent pas votre appareil et rien n'est conservé après fermeture.
Peut-il tester le certificat SSL de mon site en production ?
Non. Ce n'est pas un testeur SSL en ligne et il ne se connecte à aucun serveur. Exportez le certificat depuis votre serveur ou votre navigateur, puis analysez ce fichier ici.
Indique-t-il si le certificat est approuvé ou révoqué ?
Non. Il n'évalue pas les magasins de confiance du système ou du navigateur et n'interroge pas OCSP/CRL. Il confirme seulement que la chaîne fournie est bien reliée et, en option, que ses signatures sont valides.
Que se passe-t-il si je colle une clé privée par erreur ?
L'outil détecte le bloc PRIVATE KEY, refuse de le traiter et l'écarte en indiquant l'entrée refusée. Si la clé a pu être exposée ailleurs, envisagez de la renouveler.
Pourquoi le certificat échoue-t-il alors que le CN est correct ?
Les clients modernes n'utilisent que l'extension SAN pour vérifier le nom d'hôte. Consultez l'onglet SAN ; si le nom n'y figure pas, le certificat doit être réémis avec ce SAN.