Certificats X.509

Le générateur prend un sujet sous forme de nom distinctif (CN=…,O=…,OU=…,L=…,ST=…,C=XX ; un simple nom devient le CN), un algorithme de clé (Ed25519, ECDSA P-256 ou ECDSA P-384) et, pour un certificat, une validité de 1 à 36500 jours. Générer le certificat renvoie un PEM auto-signé -----BEGIN CERTIFICATE-----, Générer CSR un PEM -----BEGIN CERTIFICATE REQUEST----- ; dans les deux cas, la nouvelle clé privée suit dans un bloc PKCS#8 -----BEGIN PRIVATE KEY-----. Les noms d'hôte, adresses IP et adresses e-mail du champ Noms alternatifs du sujet (SAN) (un par ligne ou séparés par des virgules) sont écrits dans l'extension subjectAltName, et pour une CSR dans l'attribut extensionRequest. Le CN n'y est pas recopié automatiquement : indiquez tous les noms utilisés par les clients.

Analyser accepte un certificat ou une CSR en PEM ou en DER Base64. Pour un certificat, il affiche le sujet, l'émetteur, notBefore / notAfter, les OID des algorithmes de signature et de clé et les Subject Alternative Names, avec des avertissements pour un certificat expiré ou pas encore valide, une signature SHA-1 ou MD5, une clé RSA de moins de 3072 bits ou une courbe faible. Pour une CSR, il affiche le sujet, le type de clé (par exemple ECDSA P-256 ou RSA 2048), l'algorithme de signature, les SAN demandés, key usage, extended key usage et basic constraints, et vérifie l'auto-signature de la demande (signatureValid). Si elle ne se vérifie pas, un avertissement indique que la demande a été modifiée ou corrompue après signature.

Lots de certificats. Collez deux blocs CERTIFICATE ou plus (par exemple fullchain.pem) et Analyser produit un rapport de chaîne : pour chaque certificat, l'émetteur est recherché dans le lot par son nom et la signature est vérifiée avec sa clé publique (RSA PKCS#1, ECDSA P-256/P-384, Ed25519). Les maillons invalides, un émetteur absent, un émetteur non CA et un mauvais ordre sont signalés. Chaque certificat affiche aussi ses empreintes SHA-256 et SHA-1 et son numéro de série. Les magasins de confiance, la révocation (CRL/OCSP) et les contraintes de noms ne sont pas vérifiés.

Le résultat se copie ou se télécharge sous certificate.pem, request.csr.pem, x509.json ou csr.json.

Vérifier une CSR avant de l'envoyer à l'AC : collez le PEM CERTIFICATE REQUEST et cliquez sur Analyser. Une demande OpenSSL pour api.example.com affiche "publicKey": "RSA 2048", les noms DNS et IP demandés, "extendedKeyUsage": ["serverAuth", "clientAuth"] et "signatureValid": true.

Certificat de test pour un service local : saisissez CN=api.example.com,O=Example GmbH,C=DE, choisissez ECDSA P-256, gardez 365 jours et cliquez sur Générer le certificat. L'analyse du résultat montre le sujet CN=api.example.com, O=Example GmbH, C=DE et des dates de validité espacées d'exactement 365 jours.

Savoir quand un certificat expire : collez le certificat d'un serveur (PEM, ou DER Base64 tiré d'un fichier de configuration) et cliquez sur Analyser ; notAfter donne la date d'expiration et un certificat expiré est signalé dans Avertissements.

Clé et CSR en une étape : renseignez le sujet, choisissez l'algorithme de clé et cliquez sur Générer CSR ; conservez le bloc de clé privée et n'envoyez que celui de la demande.