Décodeur de certificats X.509

Qu'est-ce que Décodeur de certificats X.509 ?

Le décodeur de certificats X.509 est un outil gratuit fonctionnant dans le navigateur qui transforme le base64 dense d'un certificat TLS/SSL ou d'une demande de signature PKCS#10 en un résumé clair et lisible. Les administrateurs système, les ingénieurs DevOps et les réviseurs de sécurité l'utilisent pour confirmer quels domaines un certificat protège, vérifier les dates not-before et not-after avant un renouvellement, inspecter l'émetteur et le sujet, et lire la taille de la clé publique et l'algorithme de signature sans recourir à openssl en ligne de commande. Il accepte un bloc PEM complet ou un corps DER brut en base64 dans le champ Certificat ou CSR, détecte s'il s'agit d'un certificat ou d'une CSR, et présente le Sujet, l'Émetteur, le numéro de série, la période de validité, les noms alternatifs du sujet, la clé publique et l'algorithme de signature. Comme l'analyse s'exécute avec pkijs et asn1js entièrement dans votre navigateur, rien n'est téléversé et l'outil continue de fonctionner hors ligne. Il décode aussi les principales extensions — utilisation de la clé, utilisation étendue de la clé, contraintes de base, accès aux informations de l'autorité (OCSP et émetteurs de CA) et points de distribution de CRL —, affiche un état actuellement valide, expiré ou pas encore valide à partir des dates de validité, calcule les empreintes SHA-1 et SHA-256 sur le DER brut avec la Web Crypto intégrée, et vous permet de charger un fichier binaire .cer ou .der et de convertir entre PEM et DER en un clic.

Comment utiliser Décodeur de certificats X.509

1. Copiez un certificat ou une CSR, y compris les lignes -----BEGIN----- et -----END----- si vous les avez, ou seulement le corps en base64.
2. Collez-le dans le champ Certificat ou CSR ; le décodage démarre automatiquement dès qu'il est analysé.
3. Lisez la sortie Détails décodés : Sujet, Émetteur, dates de validité, noms alternatifs du sujet, clé publique et algorithme de signature.
4. Utilisez le bouton de copie pour récupérer le résumé décodé complet, ou copiez des lignes individuelles depuis la sortie.
5. Si l'entrée n'est pas un certificat ou une CSR valide, corrigez le texte environnant ou le remplissage indiqué dans la note d'erreur et réessayez.
6. Ou déposez un fichier binaire .cer, .der ou .pem sur la zone de téléversement au lieu de coller.
7. Vérifiez les extensions, le badge d'état de validité et les empreintes SHA-1/SHA-256, puis utilisez Télécharger le PEM ou Télécharger le DER pour convertir entre les formats.

Exemples

-----BEGIN CERTIFICATE-----
MIIDdzCCAl+gAwIBAgIE...truncated...
-----END CERTIFICATE-----

Sujet : CN=example.com
Émetteur : CN=R3, O=Let's Encrypt, C=US
Valide à partir du : 2026-01-01
Valide jusqu'au : 2026-04-01
SAN : example.com, www.example.com
Clé publique : RSA 2048 bits
Signature : RSASSA-PKCS1-v1_5 avec SHA-256
État de validité: Actuellement valide
Utilisation de la clé: Digital Signature, Key Encipherment
Empreinte SHA-256: 9B:71:D2:24:BD:62:F3:78:5D:96:D4:6A:D3:EA:36:36:8A:B0:9E:9C:5E:12:8D:5F:6C:2C:0A:9D:5B:3C:44:1A

-----BEGIN CERTIFICATE REQUEST-----
MIICijCCAXICAQAw...truncated...
-----END CERTIFICATE REQUEST-----

Type : Demande de signature de certificat (CSR)
Sujet : CN=api.example.com, O=Example Inc
Clé publique : EC P-256
Signature : ECDSA avec SHA-256

Questions fréquentes

Mon certificat ou ma CSR est-il téléversé quelque part ?

Non. Le décodage s'exécute entièrement dans votre navigateur avec les bibliothèques pkijs et asn1js chargées à la demande. Le certificat ou la CSR que vous collez n'est jamais envoyé ni stocké sur un serveur, donc l'outil fonctionne hors ligne et vos données restent sur votre appareil.

Quels formats d'entrée sont acceptés ?

Les blocs PEM encadrés par des lignes -----BEGIN CERTIFICATE----- ou -----BEGIN CERTIFICATE REQUEST-----, et les corps DER bruts en base64 sans encadrement. L'outil supprime automatiquement les espaces et les lignes d'en-tête et de pied de page, puis décode le base64 en octets DER.

Distingue-t-il les certificats des CSR ?

Oui. Il essaie d'abord d'analyser l'entrée comme un certificat X.509 ; en cas d'échec, il tente une demande de signature PKCS#10, et la sortie indique laquelle il a trouvée. Les CSR n'ont ni dates de validité ni émetteur, ces champs sont donc omis.

Pourquoi indique-t-il que mon entrée est invalide ?

Le base64 peut être tronqué, contenir des caractères parasites ou être d'un autre format, comme une clé privée ou un paquet PKCS#12. Assurez-vous d'avoir collé l'intégralité du corps du certificat et que les lignes d'en-tête et de pied de page correspondent au contenu.

Peut-il vérifier si le certificat est de confiance ou expiré ?

Il affiche les dates not-before et not-after pour que vous jugiez vous-même de l'expiration, mais il ne valide pas le certificat par rapport à un magasin de confiance et ne vérifie pas la révocation. C'est un décodeur en lecture seule, pas un validateur de chaîne.

Affiche-t-il les extensions et les empreintes, et peut-il convertir le PEM en DER ?

Oui. Il décode les principales extensions — utilisation de la clé, utilisation étendue de la clé, contraintes de base, accès aux informations de l'autorité et points de distribution de CRL — et calcule les empreintes SHA-1 et SHA-256 sur le DER brut avec la Web Crypto de votre navigateur. Vous pouvez aussi charger un fichier binaire .cer ou .der et utiliser les boutons Télécharger le PEM ou Télécharger le DER pour convertir entre les deux formats, le tout localement.