Calculez le hash mmh3 du favicon d'un site, avec des requêtes prêtes pour Shodan, FOFA, ZoomEye et Censys.
Nouveau
Décodeur de certificats X.509
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Décodeur de certificats X.509
Fonctionnalités
Collez un certificat ou une chaîne PEM, ou déposez un fichier .crt, .cer, .der ou .p7b, pour voir tous les noms qu'il couvre, qui l'a émis, sa durée de validité et ses empreintes, avec des liens crt.sh pour chaque nom.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Décodeur de certificats X.509
- Récupérez le certificat. Téléchargez-le depuis l'entrée crt.sh du site, ou exécutez openssl s_client -showcerts dans un environnement isolé. Vous n'avez pas besoin de visiter la page suspecte.
- Collez-le ou déposez-le. Collez le texte PEM, une chaîne entière si vous l'avez, et appuyez sur Decode, ou déposez un fichier .pem, .crt, .cer, .der ou .p7b, qui est décodé immédiatement.
- Lisez les badges et les alertes. Chaque certificat affiche son statut, son niveau de validation et des avertissements comme expiré, auto-signé ou noms punycode.
- Vérifiez les noms. Subject Alternative Names liste chaque domaine, adresse IP et adresse e-mail que couvre le certificat, avec un lien de recherche crt.sh pour chacun.
- Pivotez. Utilisez les liens d'empreinte SHA-256 ou de clé publique pour trouver le même certificat ou la même clé sur crt.sh. Send to transmet les noms DNS à IOC Converter, Blocklist Converter, Abuse Report Generator ou URL Defanger.
Exemple
Certificat de test pour example.com
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
example[.]com
expired
DV: domain validated
Warning: Expired 202 days ago (2026-04-01T00:00:00Z).
Note: 1 wildcard name: *.example[.]com.
SUBJECT
emailAddress=hostmaster[@]example[.]com, CN=example[.]com, OU=Testing, O=Example Org, L=Example City, ST=California, C=US, serialNumber=12345, businessCategory=Private Organization, jurisdictionC=US
ISSUER
Example Test Root CA (Example Org)
VALID
2026-01-01 00:00:00 UTC →
2026-04-01 00:00:00 UTC
LIFETIME
90 days, expired 202 days ago
SERIAL NUMBER
01:23:45:67:89:AB:CD:EF:01
VERSION
v3
SIGNATURE ALGORITHM
ecdsa-with-SHA256
PUBLIC KEY
EC P-256 (256 bits)
CT TIMESTAMPS (SCTS)
2 SCTs, earliest 2026-01-01T00:00:00Z
Subject Alternative Names (8)
DNS
example[.]com
crt.sh ↗
DNS
*.example[.]com
crt.sh ↗
DNS
www[.]example[.]net
crt.sh ↗
DNS
login[.]example[.]org
crt.sh ↗
IP
192[.]0[.]2[.]10
crt.sh ↗
IP
2001:db8::1
crt.sh ↗
Email
hostmaster[@]example[.]com
crt.sh ↗
URI
hxxps://example[.]com/cert
Copy 4 DNS names
SUBJECT ATTRIBUTES
Common name (CN)
example[.]com
Organization (O)
Example Org
Organizational unit (OU)
Testing
Country (C)
US
State or province (ST)
California
Locality (L)
Example City
Email address (emailAddress)
hostmaster[@]example[.]com
Serial number (serialNumber)
12345
Business category (businessCategory)
Private Organization
Jurisdiction country (jurisdictionC)
US
ISSUER ATTRIBUTES
Common name (CN)
Example Test Root CA
Organization (O)
Example Org
Country (C)
US
Extensions (10)
Basic Constraints
critical
2.5.29.19
CA: no
Key Usage
critical
2.5.29.15
Digital signature
Extended Key Usage
2.5.29.37
TLS server authentication,
…Généré avec OpenSSL pour cette page : huit entrées SAN, dont *.example.com, www.example.net et 192.0.2.10, une politique DV, deux SCT intégrés et l'émetteur Example Test Root CA. Il était valide du 1er janvier au 1er avril 2026 : il est donc affiché comme expiré.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Badge de statut | Valide avec le nombre de jours restants, expiré ou pas encore valide. Un certificat valide montre seulement que quelqu'un contrôlait le domaine au moment de l'émission, pas que le site est honnête. |
| Niveau de validation | DV, OV, IV ou EV, lu dans les politiques du certificat. DV signifie que seul le contrôle du domaine a été vérifié. |
| Auto-signé | Aucune autorité de certification publique ne s'en porte garante : les navigateurs affichent donc un avertissement. |
| Émetteur DV gratuit | Let's Encrypt, ZeroSSL, Google Trust Services ou cPanel AutoSSL. Simple contexte : les sites légitimes comme les sites de phishing les utilisent. |
| Wildcards et nombre de noms | Les noms wildcard sont notés ; 25 noms ou plus dans un même certificat sont typiques des certificats de CDN, d'hébergement ou émis en masse. |
| Noms punycode | Les noms xn-- sont signalés pour que vous puissiez y chercher des lettres sosies. |
| Signature ou clé faible | Les signatures SHA-1 ou MD5 et les clés RSA de moins de 2048 bits donnent des avertissements. |
| Horodatages CT | Les SCT intégrés indiquent quand le certificat a été journalisé publiquement ; le plus ancien est proche de la date d'émission. |
| Ordre de la chaîne | Dans une chaîne collée, chaque certificat est rapproché du suivant par le nom de l'émetteur et l'identifiant de clé. Les signatures ne sont pas vérifiées. |
| Attributs du sujet et de l'émetteur | Organisation, pays et autres champs de nom pour les deux parties. Sur les certificats reconnus publiquement, un nom d'organisation n'apparaît que dans les certificats OV et EV ; les certificats DV ne nomment que le domaine. |
D'autres exemples
Un certificat de test auto-signé
-----BEGIN CERTIFICATE-----
MIIBbjCCARSgAwIBAgICEAEwCgYIKoZIzj0EAwIwHDEaMBgGA1UEAwwRbG9naW4u
ZXhhbXBsZS5uZXQwHhcNMjYwOTAxMDAwMDAwWhcNMjYwOTMwMDAwMDAwWjAcMRow
GAYDVQQDDBFsb2dpbi5leGFtcGxlLm5ldDBZMBMGByqGSM49AgEGCCqGSM49AwEH
A0IABB099CoPjeVdV472QJm6aOiVnWB3Rt2f3ogDdGfYz1ZbGvAUnuakRPNSxsKB
7q8f85osjs4VwdlQOsK+glwPiNijRjBEMDQGA1UdEQQtMCuCEWxvZ2luLmV4YW1w
bGUubmV0ghZ4bi0tZXhtcGxlLWN1YS5leGFtcGxlMAwGA1UdEwEB/wQCMAAwCgYI
KoZIzj0EAwIDSAAwRQIgLNhJcyCi3RUzf8iT0nYsLjwsmKDmqNIJf4iHsc7d050C
IQD5p8u3+1i9+YCIXxuRAzWn2kXk1L2dPvnn33HLli6EQw==
-----END CERTIFICATE-----Titre login.example.net (les noms sont affichés désamorcés) avec un badge expired et trois avertissements : expiré (2026-09-30T00:00:00Z), auto-signé et le nom punycode xn--exmple-cua.example. Clé EC P-256, durée de vie de 29 jours, aucun SCT, 2 noms SAN avec liens crt.sh.
Un domaine collé au lieu d'un certificat
example.comSeulement la note « No PEM block (-----BEGIN CERTIFICATE-----) found. »
FAQ
Que lit le décodeur dans un certificat ?
Il analyse strictement la structure DER et affiche la version, le numéro de série, l'algorithme de signature, les attributs du sujet et de l'émetteur, la validité, le type et la taille de la clé publique, ainsi que les extensions : noms SAN, usages de la clé, politiques (DV, OV, EV), adresses CRL et OCSP et horodatages CT intégrés. Les empreintes SHA-1, SHA-256 et de clé publique sont calculées avec Web Crypto.
Vérifie-t-il que le certificat est de confiance ou révoqué ?
Non. Il ne vérifie pas les signatures, ne construit pas de chemin vers une racine de confiance et n'interroge ni OCSP ni les CRL ; il compare seulement les noms d'émetteur et de sujet et les identifiants de clé pour savoir si une chaîne est dans l'ordre. Des alertes comme un émetteur DV gratuit ou un nom wildcard sont un contexte pour une enquête, pas un verdict.
Le certificat est-il envoyé quelque part ?
Non. Le décodage et le calcul des empreintes s'exécutent dans votre navigateur. Les boutons crt.sh sont des liens qui ouvrent crt.sh dans un nouvel onglet avec l'empreinte ou le nom dans l'adresse, et seulement lorsque vous cliquez dessus.
Pourquoi examiner le certificat d'un site de phishing ?
Sa liste SAN peut nommer d'autres domaines de la même campagne, et son empreinte ou sa clé publique peuvent être recherchées sur crt.sh pour trouver des certificats liés. Le début de validité indique aussi à peu près quand le site a été mis en place.
Puis-je coller un certificat copié depuis un journal JSON ?
Oui. Le texte PEM contenant des séquences \n littérales est d'abord déséchappé, et le DER brut en Base64 ou en hexadécimal sans la ligne BEGIN est aussi accepté.
Que se passe-t-il si je colle une clé privée ou un CSR ?
Aucun des deux n'est décodé. Une clé privée déclenche un avertissement de ne pas coller de clés dans des pages web, et une demande de signature de certificat (CSR) est ignorée avec une note.
Lit-il les fichiers .p7b ?
Oui. Un bundle PKCS#7 est ouvert, une note indique combien de certificats ont été extraits, et chacun est affiché dans l'ordre. Jusqu'à 20 certificats sont affichés par exécution.