Comparateur de clés de certificat

Le Certificate Key Matcher vérifie si votre certificat SSL, sa clé privée et le CSR appartiennent bien à la même paire de clés. Collez ou téléchargez deux de ces fichiers, ou les trois, pour obtenir un verdict instantané. L’outil fonctionne entièrement sur votre appareil, votre clé privée ne quitte donc jamais votre machine.

Comment vérifier qu’un certificat et une clé privée correspondent

Collez votre certificat dans la première case, votre clé privée dans la deuxième, et votre CSR dans la troisième si vous en avez un. La vérification se lance automatiquement au fur et à mesure de la saisie, ou appuyez sur « Check match » une fois les champs remplis. Les boutons de téléchargement acceptent directement les fichiers si vous préférez ne pas faire de copier-coller.

Les résultats renvoient trois verdicts :

1. Certificat par rapport à la clé privée
2. CSR par rapport au certificat
3. CSR par rapport à la clé privée

Une correspondance en vert sur la paire qui vous intéresse signifie que ces fichiers ont été créés ensemble. Effectuez cette vérification avant d’installer le certificat, car un mauvais appariement est une cause fréquente d’échec de l’installation.

---

Ce que compare le comparateur

Deux fichiers vont ensemble lorsqu’ils partagent la même clé publique. Votre certificat, votre CSR et votre clé privée portent chacun cette clé publique, la comparer permet donc de prouver s’ils proviennent d’une seule et même paire de clés.

Le comparateur lit la clé publique de chaque fichier et en produit une empreinte SHA-256, le SubjectPublicKeyInfo (SPKI). Des empreintes identiques signifient des clés publiques identiques, ce qui signifie une véritable paire. Chaque panneau affiche l’empreinte, afin que vous puissiez comparer vous-même les valeurs ou les copier.

---

Faire correspondre un certificat, une clé et un CSR avec OpenSSL

Vous préférez la ligne de commande ? Passez chaque fichier dans OpenSSL et comparez le résultat. Les trois commandes ci-dessous affichent l’empreinte SHA-256 de la clé publique, la même valeur que compare l’outil ci-dessus :

openssl x509 -in certificate.crt -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

openssl pkey -in private.key -pubout -outform der | openssl dgst -sha256

openssl req -in request.csr -pubkey -noout | openssl pkey -pubin -outform der | openssl dgst -sha256

Lorsque les empreintes correspondent, les fichiers partagent une paire de clés. Si ne serait-ce qu’une seule diffère, il y a une incompatibilité.

D’autres vérifications OpenSSL pour ces mêmes fichiers figurent dans notre guide sur la vérification d’un certificat avec OpenSSL.

---

Clés RSA et ECC

La méthode par empreinte fonctionne que votre certificat utilise une clé RSA ou ECC, car chaque certificat porte une clé publique à comparer. Le comparateur détecte le type pour vous et l’indique, par exemple RSA 2048, à côté de chaque résultat.

La comparaison de modulus est réservée au RSA. Les clés ECC n’ont pas de modulus, donc une commande comme openssl rsa -modulus renvoie une erreur au lieu d’un hachage.

Vous travaillez avec un certificat ECC ? Comparez l’empreinte de la clé publique, ce qui est exactement ce que fait l’outil à votre place.

---

Lorsque le certificat et la clé privée ne correspondent pas

Un résultat de non-correspondance signifie que les fichiers proviennent de paires de clés différentes. Souvent, la clé privée a été générée par un outil externe et n’a jamais été transférée vers le serveur, ou un panneau de contrôle tel que cPanel ou Plesk a réutilisé une ancienne clé provenant d’une commande précédente. Réémettre un certificat avec une nouvelle clé alors que l’originale se trouve toujours sur le serveur provoque le même conflit.

Pour corriger cela, retrouvez la clé privée créée avec votre CSR, généralement un fichier .key situé dans le répertoire de configuration de votre serveur. Si elle a disparu, générez un nouveau CSR et une nouvelle paire de clés, puis réémettez le certificat afin que l’autorité de certification en délivre un qui corresponde à votre nouvelle clé. Une clé privée ne peut pas être récupérée à partir d’un certificat, une clé perdue implique donc toujours une réémission.

Si vous souhaitez comprendre en détail pourquoi les deux ont cessé de correspondre et à quoi cela ressemble sur chaque serveur, consultez notre guide pour corriger l’erreur de non-concordance de modulus.

---

Questions fréquemment posées

---