Collez uniquement du matériel public, jamais de clé privée de production. L’outil ne vérifie ni chaîne de confiance, ni révocation, ni correspondance du nom d’hôte.
Fonctionne localement dans votre navigateurPour les certificats, l’inspecteur lit les champs conteneur et X.509 communs lorsqu’ils sont disponibles. Il ne vérifie pas les chaînes de confiance, la révocation, la correspondance du nom d'hôte ou le serveur actif TLS.
Utilisez les ensembles JWK publics pour la vérification et l'examen de la rotation des clés. La confiance des certificats, la gestion des clés privées, la politique cryptographique et la configuration de production TLS nécessitent leurs propres contrôles dédiés.
Collez un bloc PEM, une demande de certificat, un JWK ou un JWKS complet dans la zone de texte et relisez la structure décodée : tailles du conteneur, champs X.509, algorithme de clé et empreintes SHA-256. Tout est analysé dans cet onglet et la page n’envoie aucune requête pendant l’inspection.
Le lecteur DER est écrit pour cet outil. Il parcourt lui-même l’arbre des balises et des longueurs : un corps qui n’est pas du base64 valide ou un certificat coupé au milieu de sa structure est signalé comme une erreur plutôt que deviné. Les clés privées chiffrées sont reconnues, jamais déchiffrées.
La fiche d’un certificat indique le numéro de série sans l’octet de signe du DER, l’émetteur, les dates de validité en UTC, le sujet, une ligne de clé publique comme RSA 2048 bit ou EC (P-256, 256 bit) et une empreinte SHA-256 séparée par des deux-points. Si la validité est terminée ou pas encore commencée, le point est signalé comme à vérifier.
La fiche d’une clé privée ajoute l’algorithme, la taille et, pour RSA, l’exposant public lus dans le conteneur PKCS#8, PKCS#1 ou SEC1. Les en-têtes de chiffrement hérités (Proc-Type et DEK-Info) sont traités comme des en-têtes : une clé chiffrée à l’ancienne affiche donc la taille de charge et le nom du chiffrement au lieu d’échouer sur un base64 invalide.
kty est obligatoire. Un RSA sans n, un EC sans crv, x ou y et un OKP sans crv ou x sont des erreurs ; une clé symétrique oct est signalée comme un secret, et une clé sans kid devient un point à vérifier, car la rotation et la vérification des jetons sont plus difficiles à suivre.
Les valeurs présentes sont contrôlées elles aussi : un champ qui n’est pas du base64url valide, un module RSA inférieur à 2048 bits et des coordonnées dont la longueur ne correspond pas à la courbe déclarée sont signalés avec le nom du champ.
Les noms sont décodés depuis PrintableString, UTF8String, TeletexString, BMPString et UniversalString. Les octets qui forment de l’UTF-8 valide sont lus en UTF-8, sinon une correspondance Latin-1 est utilisée : c’est ce qui rend lisibles les anciens certificats qui portent de l’UTF-8 dans un champ TeletexString.
Lors d’un test local, 2 000 certificats (2,4 Mo) ont été affichés en environ 0,25 s ; un volume bien plus important relève d’un outil en ligne de commande. L’inspecteur ne vérifie ni les signatures, ni les chaînes de confiance, ni la révocation, ni la correspondance du nom d’hôte, ni le TLS en service, et il ne déchiffre pas une clé privée chiffrée.