Charger un fichier
  1. base64hub
  2. Clés et hachages
  3. Décodeur de certificats

Décodeur de certificats (PEM / X.509)

Collez un certificat PEM, une chaîne entière ou du DER brut en Base64 pour voir à qui il a été émis, quels noms d’hôte il couvre, quand il expire et son empreinte SHA-256.

Gratuit sans inscription, sans limites Local rien n'est envoyé Chaînes chaque certificat d'un bundle a sa propre fiche Mis à jour 27 oct. 2026

Traité dans votre navigateur. Cette page ne peut envoyer vos données nulle part – comment le savons-nous

À essayer aussi :Décodeur de CSRPEM en DEREmpreinte de clé SSH

Comment décoder un certificat

  1. Collez le certificat dans la zone, lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE----- comprises. Le DER brut en Base64 sans ces lignes et un dump hex commençant par 30 82 sont acceptés aussi.
  2. Ou déposez un fichier .pem, .crt, .cer, .der, .p7b ou .crl sur la zone. Les fichiers DER binaires fonctionnent ; inutile de les convertir d’abord.
  3. Lisez la fiche. Chaque objet de l’entrée a la sienne : un fullchain.pem contenant trois certificats affiche donc trois fiches.
  4. Ouvrez Structure ASN.1 sous une fiche quand vous avez besoin de l’arbre brut, par exemple pour trouver une extension que le résumé range sous Autres extensions.

Le bouton Exemple charge un certificat de démonstration si vous voulez juste voir la présentation.

Ce qu’affiche le décodeur

ChampCe qu’il faut regarder
Sujet, ÉmetteurPour qui est le certificat et qui l’a signé. Des valeurs identiques déclenchent la mention auto-signé.
Valide à partir du / Valide jusqu’auJours restants, plus un avertissement quand le certificat a expiré, n’est pas encore valide ou expire dans moins de 30 jours.
Noms alternatifs du sujet (SAN)Les noms d’hôte et IP pour lesquels le certificat est valide. Les navigateurs comparent le nom d’hôte à cette liste et ignorent le CN.
Clé publique, Algorithme de signaturePar exemple EC P-256 avec ecdsa-with-SHA256, ou RSA avec sa taille en bits.
Utilisation de la clé, Utilisation étendue de la cléUn certificat de serveur TLS doit avoir serverAuth dans l’EKU.
Contraintes de baseCA:TRUE désigne un intermédiaire ou une racine.
Identifiant de clé du sujet, Identifiant de clé de l’autoritéL’AKI d’un certificat est égal au SKI du certificat qui l’a émis : c’est ainsi qu’on remet une chaîne dans l’ordre.
Points de distribution de la CRL, OCSP, Émetteurs de l’ACAffichés en texte brut. La page ne les récupère pas.
Empreintes SHA-1 et SHA-256Hachages du DER complet, les valeurs que comparent les gestionnaires de certificats et les configurations de pinning.
Pin SPKI SHA-256SHA-256 en Base64 de la seule clé publique. Il reste identique quand un certificat est renouvelé avec la même clé.

Chaînes, bundles et fichiers mixtes

Les serveurs envoient généralement une chaîne : le certificat feuille d’abord, puis un ou plusieurs intermédiaires. Collez le fullchain.pem entier et parcourez les fiches : l’émetteur de la fiche 1 doit être le sujet de la fiche 2, et les valeurs AKI/SKI doivent s’enchaîner de la même façon. Un mauvais ordre ou un intermédiaire manquant est la cause habituelle des erreurs « unable to get local issuer certificate » dans les clients qui ne récupèrent pas eux-mêmes les intermédiaires.

Un bundle PKCS#7 (-----BEGIN PKCS7-----, souvent un .p7b issu de Windows ou d’un portail d’AC) s’ouvre aussi, et chaque certificat qu’il contient a sa propre fiche. Vous pouvez aussi mélanger les types d’objets dans un même collage : un certificat, sa CSR et sa clé privée. Si les trois lignes Pin SPKI SHA-256 sont identiques, la clé, la demande et le certificat appartiennent à la même paire de clés.

Les certificats sont publics, les clés privées non. Cette page analyse tout localement et n’affiche que le type et la taille d’une clé privée, les nombres secrets étant masqués dans l’arbre ASN.1. Malgré tout, ne collez une clé privée de production nulle part sauf nécessité.

Reconnaître des données de certificat à leurs premiers caractères

Sans les lignes d’en-tête, un certificat n’est que du Base64 de DER, et le DER commence toujours par un octet SEQUENCE 0x30. Cela donne quelques préfixes utiles à connaître :

Commence parGénéralement
MIIBDER de 260 à 515 octets, comme un petit certificat EC (l’exemple ci-dessous fait 443 octets)
MIICDER de 516 à 771 octets
MIID, MIIE, MIIFDER de 772 à 1 539 octets, la taille typique d’un certificat RSA-2048
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEUne clé publique EC P-256 (SPKI)
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AUne clé publique RSA-2048 (SPKI)

Le quatrième caractère dépend des octets de longueur, d’où sa variation selon la taille. D’autres motifs sont réunis dans préfixes Base64 courants.

Décoder un certificat avec OpenSSL

Les mêmes champs en ligne de commande :

openssl x509 -in cert.pem -noout -text
openssl x509 -in cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl x509 -in cert.pem -noout -fingerprint -sha256
openssl x509 -in cert.pem -noout -pubkey | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | openssl base64

La dernière ligne affiche le pin SPKI, identique à celui affiché ici. Pour récupérer la chaîne qu’envoie un serveur en production, lancez openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null et collez la sortie : le décodeur extrait les blocs PEM du texte qui les entoure. D’autres commandes en une ligne sont sur la page OpenSSL Base64.

Problèmes courants

  • « Une ligne —–BEGIN a été trouvée, mais aucune ligne —–END correspondante » : la copie a été tronquée. Copiez à nouveau, ou déposez le fichier.
  • « Ni du PEM, ni du DER valide en Base64 » : l’entrée n’est ni l’un ni l’autre. Causes typiques : un fichier binaire ouvert dans un éditeur de texte puis collé, ou du Base64 qui a perdu des caractères en passant par une messagerie ou un client e-mail.
  • « C’est une clé publique SSH, pas du PEM » : les lignes ssh-ed25519 AAAA… relèvent de l’outil d’empreinte de clé SSH. Il en va de même pour -----BEGIN OPENSSH PRIVATE KEY-----.
  • Les empreintes affichent « Nécessite une page sécurisée (https) » : les hachages utilisent l’API WebCrypto du navigateur, qui ne fonctionne qu’en https ou sur localhost. Ouvrez la page en https.
  • Un fichier .pfx ou .p12 : le contenu PKCS#12 est chiffré avec le mot de passe d’export, si bien que seule la structure extérieure peut être affichée. Extrayez d’abord le certificat avec openssl pkcs12 -in file.pfx -nokeys -out cert.pem.

FAQ

Comment vérifier la date d'expiration d'un certificat SSL ?

Collez-le ci-dessus et lisez Valide jusqu’au : le décodeur ajoute le nombre de jours restants et vous avertit quand il en reste moins de 30 ou que la date est dépassée. Dans un shell, openssl x509 -in cert.pem -noout -enddate affiche la même date.

Quelle est la différence entre les fichiers .pem, .crt et .cer ?

L’extension n’est qu’une convention. Un fichier .pem est toujours du texte Base64 avec des lignes -----BEGIN, tandis que .crt et .cer peuvent contenir ce texte ou du DER binaire. Déposez le fichier ici : le décodeur lit les deux.

Cet outil vérifie-t-il la chaîne de certificats ou la révocation ?

Non. Il lit tous les champs, mais ne vérifie ni les signatures, ni les chaînes, ni le statut OCSP/CRL, car la page ne peut pas se connecter à d’autres serveurs. Utilisez openssl verify -CAfile chain.pem cert.pem pour vérifier la chaîne.

Puis-je coller une clé privée à côté du certificat ?

Oui, et c’est le moyen le plus rapide de voir s’ils vont ensemble : des valeurs Pin SPKI SHA-256 identiques signifient la même paire de clés. Pour la clé privée, l’outil n’affiche que le type et la taille, et les valeurs secrètes de l’arbre ASN.1 sont masquées.