Collez un certificat PEM dans le décodeur de certificat et obtenez en une passe le sujet, l'émetteur, la validité, la clé publique, les extensions et les empreintes SHA-256/SHA-1.
Pourquoi lire le certificat plutôt que de faire confiance à l'icône du cadenas
Un serveur TLS présente son certificat à chaque poignée de main, et le navigateur le vérifie avant d'afficher le cadenas. Quand une connexion échoue avec une erreur d'expiration, une non-concordance d'hôte ou un avertissement auto-signé, le certificat lui-même est le premier endroit où regarder.
`openssl x509 -in cert.pem -text -noout` affiche les mêmes champs que cette page décode : sujet, émetteur, période de validité, numéro de série, algorithme de signature, clé publique et extensions. Comprendre ces champs transforme un mur de base64 en diagnostic actionnable.
openssl x509 -in cert.pem -text -nooutopenssl x509 -in cert.pem -fingerprint -sha256 -nooutPEM et DER : les deux formats que vous rencontrerez
DER est l'encodage binaire de la structure du certificat définie dans le RFC 5280. PEM (RFC 7468) est ce même DER enveloppé en base64 entre `-----BEGIN CERTIFICATE-----` et `-----END CERTIFICATE-----` afin de pouvoir traverser les canaux texte.
Les serveurs fournissent généralement des fichiers PEM, mais certaines API exportent directement en DER. Le décodeur accepte les deux : collez le bloc PEM ou le corps DER encodé en base64 et les champs sont extraits dans le navigateur.
Les champs qui répondent à la plupart des questions de débogage
Sujet et émetteur nomment le titulaire du certificat et son signataire. Un certificat auto-signé a le même sujet et le même émetteur — c'est exactement ce que vous voyez dans l'avertissement du navigateur.
Validité donne « Valide à partir du » et « Valide jusqu'au ». Les certificats expirés provoquent bien plus d'échecs TLS que la plupart des développeurs ne le pensent, et les certificats datés dans le futur apparaissent quand l'horloge de la machine est fausse.
Numéro de série et algorithme de signature identifient le certificat et la cryptographie utilisée pour le signer. Clé publique montre l'algorithme et la taille — par exemple RSA 2048 — ce qui compte pour comparer les certificats avant et après un renouvellement.
Vous pouvez inspecter une clé publique ou hacher des fichiers localement avec le générateur de hachage pour recouper les empreintes avec les valeurs publiées.
Empreintes : ce qu'elles font et ce qu'elles ne font pas
Une empreinte est un condensé des octets DER du certificat. Deux certificats avec des octets différents produisent des empreintes SHA-256 différentes, ce qui rend les empreintes utiles pour confirmer que vous regardez le certificat attendu.
Les fournisseurs publient parfois l'empreinte SHA-256 de leur certificat ou de leur paquet. Vous pouvez la reproduire localement :
openssl x509 -in cert.pem -fingerprint -sha256 -noout
Comparez cette sortie avec la valeur SHA-256 affichée par le décodeur. Une correspondance confirme les octets exacts ; elle ne prouve pas la fiabilité du certificat — la confiance vient de la chaîne, pas d'une empreinte.
SAN et extensions : ce que le certificat est autorisé à faire
Subject Alternative Name (SAN) liste les domaines et identités couverts par le certificat. Une non-concordance d'hôte survient quand le domaine de l'URL n'est pas dans cette liste, même si le certificat est valide et non expiré.
Key Usage et Extended Key Usage restreignent l'usage de la clé : signature, chiffrement de clé, authentification serveur ou client. Un certificat avec les bons champs mais le mauvais usage échouera dans certains clients.
Basic Constraints indique si un certificat est une autorité de certification. Les intermédiaires et racines portent CA:TRUE ; les certificats feuilles portent normalement CA:FALSE.
Pourquoi analyser localement plutôt que de coller dans un service en ligne
Un certificat public n'est pas secret, mais l'habitude de coller du matériel de certificat dans des formulaires web au hasard vaut la peine d'être brisée. L'outil qui décode un certificat prétend souvent aussi traiter des clés privées, et un seul mauvais collage suffit.
Le décodeur s'exécute entièrement dans le navigateur : aucune requête réseau n'est émise pendant l'analyse. Vérifiez-le vous-même en ouvrant DevTools → Réseau et en observant le journal des requêtes pendant que vous collez un certificat — rien n'apparaît parce que rien ne quitte votre appareil.
Le même principe s'applique au décodeur JWT : jetons et clés restent locaux, et la sortie n'est destinée qu'à vos yeux.
FAQ
Q.Mon certificat est-il téléversé quand je le décode ?
A.Non. L'analyse et les empreintes s'exécutent localement dans votre navigateur. Ouvrez DevTools → Réseau et collez un certificat pour constater qu'aucune requête n'est émise.
Q.J'ai collé une chaîne de certificats complète. Pourquoi ne vois-je qu'un certificat ?
A.Le décodeur affiche le premier certificat de l'entrée et signale quand d'autres blocs sont présents. Pour inspecter la chaîne, décodez chaque bloc PEM séparément ou utilisez openssl pour voir la chaîne complète.
Q.Quelle est la différence entre les empreintes SHA-256 et SHA-1 ?
A.Ce sont deux condensés des octets DER du certificat. SHA-1 est déprécié pour la plupart des usages : comparez donc les empreintes SHA-256 quand un fournisseur les publie et ne traitez SHA-1 que comme référence héritée.
Q.Puis-je décoder un certificat au format DER ?
A.Oui. Collez directement le corps DER encodé en base64, ou enveloppez-le dans des en-têtes PEM. Le décodeur détecte automatiquement les deux formes.
Références
Les champs et la structure ci-dessus suivent ces normes :
- RFC 5280 – Internet X.509 Public Key Infrastructure Certificate and CRL Profile : https://www.rfc-editor.org/rfc/rfc5280
- RFC 7468 – Textual Encodings of PKIX, PKCS, and CMS Structures (PEM) : https://www.rfc-editor.org/rfc/rfc7468
- RFC 9325 – Recommendations for Secure Use of TLS and DTLS : https://www.rfc-editor.org/rfc/rfc9325
Décodez un certificat maintenant
Sujet, émetteur, validité, clé publique, extensions et empreintes — analysés localement dans votre navigateur, jamais téléversés.
Lisez le certificat avant de faire confiance au message d'erreur
Les erreurs de certificat se résument généralement à quatre champs : dates de validité, sujet vs SAN, statut auto-signé et clé publique. Décodez le PEM localement, vérifiez ces champs et comparez l'empreinte SHA-256 avec toute valeur publiée.
Ouvrez le décodeur de certificat, collez le PEM et lisez les champs vous-même.