Vérificateur de certificat SSL

Collez un certificat de serveur, un intermédiaire, une chaîne complète ou un paquet PKCS#7, et cette page indique ce qu’il contient et ce qui semble incorrect : les dates et la limite actuelle de durée de vie, si les noms couvrent l’hôte que vous saisissez, la taille de la clé, l’algorithme de signature, les extensions que lit un client TLS, et si chaque certificat est réellement signé par le suivant. Elle lit les blocs -----BEGIN CERTIFICATE-----, un corps en base64 ou en hexadécimal, ou un fichier DER brut collé en hexadécimal, et fonctionne entièrement dans votre navigateur.
1. Certificat ou chaîne
Collez plusieurs blocs pour vérifier une chaîne : le premier bloc est le certificat présenté par le serveur, puis les intermédiaires dans l’ordre où le serveur les envoie. Ne mettez pas la racine — les serveurs ne l’envoient pas, et le client la possède déjà. Un corps unique en base64 ou en hexadécimal, ou un fichier PKCS#7 .p7b collé en base64, fonctionne aussi.
2. Nom d’hôte (facultatif)
Avec un nom d’hôte ici, l’audit vérifie les noms alternatifs du sujet comme le ferait un navigateur, y compris les règles des jokers, et indique si une entrée d’adresse IP serait nécessaire à la place. Sans nom, les noms sont seulement listés.
3. En-têtes de réponse (facultatif)
Contexte facultatif pour le certificat : avec un bloc d’en-têtes collé, la page signale aussi les en-têtes liés à HTTPS, dans leur propre section, afin que vous voyiez le certificat et la configuration ensemble. L’audit de configuration HTTPS traite le volet en-têtes et politiques en profondeur.
rien n’a encore été vérifié
L’exemple comprend un certificat feuille, l’intermédiaire qui l’a signé, un nom d’hôte et un bloc d’en-têtes, de sorte que le rapport montre une chaîne qui se vérifie, un nom qui correspond et un en-tête HSTS défini.
Où obtenir votre propre certificat. Dans Chrome ou Edge, cliquez sur le cadenas (ou sur la mention « non sécurisé »), puis La connexion est sécurisée → Le certificat est valide → l’onglet Détails → Exporter, ce qui écrit un .cer encodé en DER ; un second export peut être fait pendant que le certificat est sélectionné pour ajouter un intermédiaire à la fois. Dans Firefox, le cadenas ouvre Connexion sécurisée → Plus d’informations → Afficher le certificat → Télécharger, ce qui écrit un fichier PEM. Sous macOS, Safari affiche le même panneau depuis le cadenas, et le certificat peut être glissé sur le bureau. Dans n’importe quel navigateur, l’onglet Sécurité des outils de développement contient un lien Afficher le certificat qui ouvre le même panneau. Depuis un serveur ou un ordinateur portable, vous pouvez aussi lancer openssl s_client -connect example.com:443 -servername example.com -showcerts et coller directement la sortie ici : la page extrait les blocs BEGIN CERTIFICATE d’un vidage plus volumineux. Lorsqu’un site se trouve derrière un CDN, le certificat que vous exportez est celui que présente le CDN, et non celui du serveur d’origine.
Rapport d’audit
Rien n’a encore été vérifié. Collez un certificat ci-dessus et appuyez sur Vérifier le certificat pour le rapport complet.
Ce qui est vérifié. Les dates de validité par rapport à aujourd’hui et au calendrier de durée de vie du CA/Browser Forum (200 jours pour les certificats émis à partir du 15 mars 2026, 100 jours à partir de 2027, 47 jours à partir de 2029) ; la correspondance du nom d’hôte avec les noms alternatifs du sujet, selon les règles de jokers des navigateurs ; le type et la taille de la clé ; l’algorithme de signature et s’il est retiré ; les contraintes de base ; l’usage de clé et l’usage étendu de clé ; la présence même d’un nom alternatif du sujet ; la longueur du numéro de série ; les horodatages de transparence des certificats ; et chaque lien de la chaîne collée, chacun vérifié avec l’interface cryptographique du navigateur plutôt que considéré comme fiable sur parole.

Ce qu’elle ne peut pas faire. Elle ne peut pas vous dire si le certificat est approuvé, car cette réponse dépend d’un magasin de racines qu’une page web ne peut pas lire. Elle ne peut pas consulter la révocation, car les recherches OCSP et LCR sont des requêtes réseau et cette page n’en fait aucune. Et elle ne peut pas voir le certificat qu’un serveur en fonctionnement envoie réellement, à moins que vous ne collez ce certificat — un navigateur qui tient une connexion ne peut pas être interrogé à ce sujet depuis une page.

Confidentialité : tout reste dans le navigateur. Les certificats et les en-têtes sont lus localement, aucun envoi n’a lieu, et la page fonctionne sans aucune connexion réseau. Pour faire l’inverse et créer un certificat, utilisez le générateur de certificats auto-signés ; pour vérifier qu’une clé appartient à un certificat, utilisez le comparateur certificat et clé.