Certificat & Décodeur RSE (X.509 / PKCS#10)

Les certificats et les demandes de signature de certificat sont des documents denses et codés en binaire : en coller un dans un décodeur en ligne aléatoire signifie faire confiance au serveur d'un étranger avec un fichier pouvant contenir vos noms d'hôte internes, le nom légal de votre organisation ou une clé publique que vous êtes sur le point de soumettre à une autorité de certification. Cet outil décode les certificats X.509 et les CSR PKCS#10 entièrement dans l'onglet de votre navigateur : le texte PEM est décodé en base64 en octets DER bruts localement, parcouru champ par champ avec un véritable analyseur de valeur de longueur de balise ASN.1 et n'est jamais transmis nulle part.

Sous le capot, il ne s'agit pas d'une astuce d'expression régulière ou d'un modèle prédéfini - c'est un véritable lecteur pour les règles de codage DER définies dans les RFC 5280 (X.509) et RFC 2986 (PKCS#10) : il lit chaque octet de balise, décode les longueurs courtes et longues, récure dans les constructions SEQUENCE et SET et décode les types primitifs comme INTEGER, BIT STRING, OCTET STRING et IDENTIFIANT D'OBJET. Les identifiants d'objet sont convertis à partir d'octets bruts en notation par points et comparés à des valeurs bien connues, de sorte que la sortie affiche des étiquettes lisibles par l'homme comme CN, O et C pour les champs de nom, et RSA ou EC pour l'algorithme de clé publique, au lieu d'un mur de chiffres.

À partir d'un certificat, l'outil extrait la version, le numéro de série, les noms distinctifs de l'émetteur et du sujet, les dates de validité notBefore/notAfter (avec un statut valide/expiré/pas encore valide en langage clair), l'algorithme et la taille de la clé publique (longueur en bits du module RSA ou courbe EC nommée) et, le cas échéant, l'extension du nom alternatif du sujet répertoriant chaque nom DNS, adresse IP, e-mail ou URI couvert par le certificat. À partir d'un CSR, il extrait le sujet, la clé publique et tous les noms alternatifs de sujet demandés via l'attribut extensionRequest PKCS#9. Une véritable empreinte SHA-256 des octets DER exacts est calculée avec l'API Web Crypto native du navigateur et affichée séparée par deux points, le même format que la plupart des tableaux de bord CA et des sorties openssl utilisent.

Une chose que cet outil ne fait délibérément pas : vérifier une chaîne de confiance ou vérifier le statut de révocation. Confirmer qu'un certificat est signé par une racine de confiance, n'a pas expiré dans la chaîne ou n'a pas été révoqué via OCSP ou une CRL nécessite de contacter une autorité de certification en direct ou un répondeur OCSP sur le réseau - et ce type de demande sortante n'a pas sa place dans un décodeur hors ligne axé sur la confidentialité. Cet outil vous indique exactement ce qu'il y a à l'intérieur du certificat ou de la CSR que vous avez collé ; il ne prétend pas si vous devez lui faire confiance.