Collez une demande de signature de certificat (CSR) ci-dessous et ce décodeur de CSR vous montrera ce qu’elle contient réellement : le Common Name et le reste du Distinguished Name, la clé publique et sa taille, l’algorithme de signature, ainsi que tous les Subject Alternative Name couverts par la demande.
Lire ces champs prend quelques secondes. Les ignorer coûte une réémission. Une autorité de certification signera sans problème une CSR contenant un domaine mal orthographié, et vous ne le découvrirez que lorsque les navigateurs afficheront des erreurs de correspondance de nom sur un certificat déjà payé et installé.
Décodez votre fichier CSR
Collez le texte complet de votre CSR dans le champ, y compris les lignes d’en-tête et de pied de page :
Une CSR valide commence par —–BEGIN CERTIFICATE REQUEST—– et se termine par —–END CERTIFICATE REQUEST—–.
Les serveurs Windows exécutant IIS écrivent la ligne d’ouverture sous la forme —–BEGIN NEW CERTIFICATE REQUEST—–. Les deux formes fonctionnent ici. Le fichier peut arriver avec une extension .csr, .pem ou .txt ; seul le texte qu’il contient compte. Ce décodeur de CSR gratuit en ligne lit le PEM, le format Base64 que produisent presque tous les serveurs et panneaux d’hébergement.
Vous n’avez pas encore de CSR ? Générez-en une avec notre générateur de CSR, ou suivez le guide CSR adapté à votre plateforme.
Ce que le décodeur de CSR vous révèle
Chaque CSR contient deux éléments dont une autorité de certification a besoin : qui vous prétendez être, et la clé publique que vous souhaitez faire certifier. La partie identité s’appelle le Subject, ou Distinguished Name, et il s’agit d’un ensemble de champs étiquetés plutôt que d’une longue chaîne unique. Le décodeur divise le Distinguished Name en ses différentes parties et présente les détails de la clé à côté.
Le tableau ci-dessous répertorie tous les champs que ce décodeur de CSR renvoie, à quoi ressemble une valeur valide, et ce qui pose problème lorsqu’elle ne l’est pas.
| Champ | Ce que c’est | Valeur valide | Ce qui casse si c’est incorrect |
|---|---|---|---|
| Common Name (CN) | Le domaine principal que le certificat sécurisera | www.example.com, ou *.example.com pour un certificat wildcard | Doit correspondre exactement au nom de domaine complet. Une faute de frappe, ou un www manquant, provoque une erreur de correspondance de nom dans tous les navigateurs et une réémission. |
| Subject Alternative Name (SAN) | Une extension listant tous les domaines couverts par le certificat | DNS:example.com, DNS:www.example.com | Les navigateurs lisent les SAN et ignorent le Common Name. Tout domaine absent de cette liste n’est pas couvert, quel que soit le contenu du CN. |
| Organization (O) | Le nom légalement enregistré de votre entreprise | Example Corporation Ltd | Vérifié par rapport aux registres publics pour les certificats OV et EV. Un nom commercial ou une abréviation bloque la validation. |
| Organizational Unit (OU) | Un service ou une division au sein de l’organisation | IT Department | Le vote SC47 du CA/Browser Forum interdit l’OU dans les certificats TLS publiquement approuvés émis à partir du 1er septembre 2022. Vous pouvez toujours le mettre dans une CSR. Il sera retiré du certificat que vous recevrez. |
| Locality (L) | La ville | San Francisco | Écrivez-la en toutes lettres. SF échoue à la validation OV. |
| State or Province (ST) | L’état, la province ou la région | California | Écrivez-le en toutes lettres. CA est interprété comme une abréviation et rejeté. |
| Country (C) | Un code ISO 3166-1 alpha-2 de deux lettres | US, GB, DE | Exactement deux lettres. USA et UK sont les erreurs de formatage les plus courantes dans les CSR. |
| emailAddress | Une adresse de contact facultative dans le Subject | [email protected] | Facultatif. La plupart des CA publiques l’ignorent. |
| Public key algorithm | L’algorithme ayant généré la paire de clés | RSA ou ECDSA | Les clés ECDSA sont plus petites et plus rapides à vérifier. RSA bénéficie d’une prise en charge plus large sur le matériel ancien. Certains équilibreurs de charge et équipements anciens n’acceptent que RSA. |
| Key size | La longueur de la clé publique | 2048 bits ou 4096 bits pour RSA ; 256 bits ou 384 bits pour ECDSA | 2048 bits est le minimum pour RSA chez toute CA publique. Une demande en 1024 bits est purement et simplement rejetée. |
| Signature algorithm | L’algorithme avec lequel la demande a été signée | SHA-256 avec chiffrement RSA | SHA-1 n’est plus accepté. Ce champ décrit la signature propre à la CSR ; la CA choisit l’algorithme du certificat qu’elle émet. |
Une CSR peut également contenir des attributs facultatifs et des extensions demandées que la plupart des décodeurs ignorent. Un mot de passe de défi (challenge password) est une chaîne facultative qu’utilisaient autrefois certaines CA pour autoriser la révocation ; laissez ce champ vide sauf si votre CA en demande un. Les extensions demandées telles que keyUsage, extendedKeyUsage et basicConstraints décrivent ce que le certificat devrait être autorisé à faire, bien que la CA détermine les valeurs finales.
Comment fonctionne le décodage d’une CSR
Une CSR est une demande de certification PKCS#10, un format défini par la RFC 2986. Son contenu est décrit en ASN.1, sérialisé en DER, qui est binaire, puis encodé en Base64 et entouré des lignes d’en-tête et de pied de page PEM afin que la demande survive à l’envoi par e-mail et au copier-coller sans être corrompue.
Le décodage inverse cette chaîne. L’outil retire l’enveloppe PEM, reconvertit le Base64 en DER, analyse la structure ASN.1, et étiquette chaque valeur qu’il trouve.
Aucun déchiffrement n’a lieu à aucune étape, car rien dans une CSR n’est chiffré. Une CSR contient votre clé publique. La clé privée reste sur le serveur qui l’a générée et n’entre jamais dans la demande. Quiconque intercepte une CSR peut la lire, et c’est précisément pour cela qu’il est sûr d’en envoyer une par e-mail à une autorité de certification.
Ce qu’une CSR contient bel et bien, c’est une signature. La demande est signée avec la clé privée correspondant à la clé publique qu’elle contient, ce qui prouve que vous détenez cette clé. C’est ce qu’on appelle la preuve de possession (Proof of Possession), et c’est ainsi qu’une CA sait que la personne demandant un certificat contrôle la clé à certifier.
Une fois la demande validée, la CA émet un certificat X.509 contenant votre clé publique et les champs du Subject qu’elle a pu vérifier.
Ce qu’il faut vérifier avant de soumettre votre CSR
Confrontez le résultat décodé à cette liste avant que la demande ne parte vers une autorité de certification. Utiliser le décodeur comme vérificateur de CSR à ce stade vous coûte une minute. Détecter la même erreur après l’émission coûte une réémission et un redéploiement.
- Le Common Name correspond exactement à votre nom de domaine complet, avec ou sans www selon votre intention. example.com et www.example.com sont deux noms différents.
- Chaque domaine dont vous avez besoin figure dans la liste des SAN, et pas seulement dans le Common Name.
- Le pays comporte exactement deux lettres. Vérifiez-le par rapport à la liste ISO 3166-1 alpha-2 en cas de doute.
- L’état et la localité sont écrits en toutes lettres, sans abréviation.
- L’organisation est votre nom légal enregistré, si vous achetez un certificat OV ou EV. Les certificats validés par domaine ignorent ce champ.
- La clé est en RSA 2048 bits ou plus, ou en ECDSA 256 bits ou plus.
- L’algorithme de signature est SHA-256 ou plus fort.
- La syntaxe wildcard est *.example.com, qui ne couvre qu’un seul niveau. Elle ne couvre pas shop.eu.example.com.
- Vous détenez toujours la clé privée à partir de laquelle cette CSR a été générée. Confirmez-le avec le Certificate Key Matcher avant de commander.
Problèmes courants de CSR révélés par un décodeur
Incompatibilité de nom. Le Common Name ou la liste des SAN ne correspond pas au domaine sur lequel le serveur répond réellement. C’est la raison la plus fréquente pour laquelle un certificat s’installe mais échoue tout de même dans le navigateur.
SAN manquant. Le certificat a été émis, le Common Name semble correct, et un nom d’hôte génère toujours une erreur. Décodez la CSR et vérifiez si ce nom d’hôte figurait bien dans la liste des SAN. Si ce n’était pas le cas, il n’a jamais été couvert.
Un code pays rejeté. Trois lettres au lieu de deux. La CA rejette la demande, généralement avec un message qui ne nomme pas le champ concerné.
Un état abrégé. CA au lieu de California, NY au lieu de New York. Les commandes validées par domaine passent. Les commandes à validation d’organisation et à validation étendue restent bloquées en validation jusqu’à ce que vous soumettiez à nouveau la demande.
Une clé trop petite. Le RSA 1024 bits est inacceptable pour les CA publiques depuis des années. Régénérez la CSR avec une clé de 2048 bits ou plus ; vous ne pouvez pas corriger cela en modifiant la demande.
Le champ OU a disparu. Vous avez indiqué un service dans le champ Organizational Unit et il n’apparaît pas dans le certificat émis. C’est le comportement attendu depuis septembre 2022, et non une erreur de la part de la CA. Découvrez pourquoi le champ OU a été supprimé.
Une CSR qui ne correspond pas à votre clé privée. Cela résulte généralement de la génération d’une seconde CSR sans avoir suivi quelle paire de clés correspondait à quelle demande. Le Certificate Key Matcher règle cela en une seule étape.
Un domaine international dans la mauvaise forme. Les domaines non-ASCII doivent apparaître en Punycode, sous la forme xn--, plutôt que dans leur écriture d’origine.
Décoder une CSR avec OpenSSL
Si vous avez OpenSSL installé, vous pouvez lire une CSR sans navigateur :
openssl req -in example.csr -noout -textAjoutez -verify pour vérifier en même temps la signature propre de la demande, ce qui confirme que la CSR n’a pas été modifiée depuis sa génération :
openssl req -in example.csr -noout -text -verifyLa sortie place l’intégralité du Distinguished Name sur la ligne Subject:, sur une seule ligne séparée par des virgules plutôt qu’en champs distincts, à lire donc de gauche à droite : C, ST, L, O, OU, CN. En dessous, Public Key Algorithm indique RSA ou ECDSA, et Public-Key: donne la longueur en bits entre crochets. Signature Algorithm apparaît deux fois, une fois en haut et une fois en bas à côté du bloc de signature ; les deux se réfèrent à la signature propre de la CSR.
Les Subject Alternative Name sont faciles à manquer. Ils ne font pas partie de la ligne Subject. Regardez plus bas le bloc Requested Extensions et l’entrée X509v3 Subject Alternative Name juste en dessous. Si ce bloc est absent, la CSR ne contient aucun SAN.
L’outil web ci-dessus est l’option la plus rapide lorsque OpenSSL n’est pas installé, lorsque vous êtes sous Windows sans WSL, ou lorsque la CSR provient d’un panneau d’hébergement et n’existe que sous forme de texte dans un onglet de navigateur. Le résultat fournit les mêmes informations, présentées dans un langage clair.
Décoder une CSR pour Sectigo, DigiCert ou toute autre CA
Une CSR est un fichier PKCS#10, et le format ne change pas selon l’autorité qui la signera. Il n’existe pas de format de CSR spécifique à Sectigo ou à DigiCert, donc un seul décodeur fonctionne pour les demandes destinées à n’importe quelle autorité de certification.
Ce qui varie d’une CA à l’autre, c’est quels champs sont validés et avec quelle rigueur. Les certificats validés par domaine ne vérifient que le contrôle du domaine et ignorent totalement le champ Organization. Les certificats à validation d’organisation et à validation étendue exigent que les champs Organization, Locality, State et Country correspondent aux registres publics, ce qui explique pourquoi l’exactitude de ces champs importe d’autant plus que l’on monte dans l’échelle de validation.
Questions fréquemment posées
Qu’est-ce qu’un décodeur CSR ?
Un décodeur de CSR est un outil qui lit une demande de signature de certificat (Certificate Signing Request) et affiche son contenu en langage clair. Il inverse l’encodage Base64 et ASN.1 qui rend un CSR illisible à l’œil nu, puis étiquette chaque champ : Common Name, Organization, Organizational Unit, Locality, State, Country, algorithme de clé publique, taille de clé, algorithme de signature et tout Subject Alternative Name. On l’utilise pour vérifier une demande avant de la soumettre, ou pour comprendre pourquoi un certificat déjà en votre possession se comporte de manière inattendue.
Copier le lien
Comment lire un fichier CSR ?
Collez-le dans un décodeur de CSR, parfois appelé visualiseur de CSR ou lecteur de CSR, puis lisez le résultat étiqueté. Un CSR ressemble à un bloc compact de caractères aléatoires, car il s’agit de données binaires encodées en Base64 ; il n’y a donc rien d’utile à voir en ouvrant le fichier dans un éditeur de texte. Si vous préférez la ligne de commande, openssl req -in example.csr -noout -text affiche les mêmes informations.
Copier le lien
Peut-on déchiffrer un CSR ?
Non, car une CSR n’est pas chiffrée. C’est l’une des idées reçues les plus tenaces au sujet des demandes de certificat. Une CSR est une donnée ASN.1 encodée en Base64, que n’importe qui peut décoder sans clé ni mot de passe. Elle contient votre clé publique, jamais votre clé privée. Ce que les gens veulent dire lorsqu’ils parlent de « déchiffrer une CSR », c’est en réalité la décoder, et c’est exactement ce que fait cet outil, tout comme la commande openssl req.
Copier le lien
Devez-vous décoder un CSR avant de l’envoyer à une autorité de certification ?
Non. Soumettez le texte encodé exactement tel que votre serveur l’a généré, lignes d’en-tête et de pied de page incluses. L’autorité de certification l’analyse de son côté. Le décodage est fait pour votre propre bénéfice, pas pour le sien : c’est ainsi que vous repérez un domaine erroné ou un code pays à deux lettres avant que l’autorité de certification ne transforme votre erreur en certificat.
Copier le lien
Puis-je lire le texte d’un CSR dans la ligne de commande ?
Oui. openssl req -in example.csr -noout -text affiche le contenu décodé dans votre terminal. Ajouter -verify permet également de vérifier l’autosignature de la CSR. Consultez la section OpenSSL ci-dessus pour comprendre la signification de chaque partie du résultat.
Copier le lien
Quelles informations vais-je voir après avoir décodé le CSR ?
Le Subject, également appelé Distinguished Name, qui contient le Common Name, l’Organization, l’Organizational Unit, la Locality, le State et le Country. La clé publique, avec son algorithme (RSA ou ECDSA) et sa taille de clé en bits. L’algorithme de signature avec lequel la demande a été signée. Et, si la demande les inclut, les Subject Alternative Names répertoriant chaque domaine que le certificat couvrira.
Copier le lien
Qu’est-ce qu’un Subject Alternative Name, et pourquoi est-il plus important que le Common Name ?
Un Subject Alternative Name est une extension qui répertorie chaque nom d’hôte couvert par un certificat. Les navigateurs modernes lisent la liste SAN et ignorent totalement le Common Name, de sorte qu’un domaine qui n’apparaît que dans le Common Name et non dans la liste SAN échouera. La plupart des CA publiques copient automatiquement le Common Name dans la liste SAN lors de l’émission, mais confirmez ce point auprès de votre CA plutôt que de vous y fier. Si vous avez besoin de plusieurs noms d’hôte sur un seul certificat, répertoriez-les tous.
Copier le lien
Pourquoi le champ OU est-il absent de mon certificat émis ?
Parce que ce n’est plus autorisé. Le vote SC47 du CA/Browser Forum a interdit le champ Organizational Unit dans les certificats TLS publiquement approuvés émis à partir du 1er septembre 2022, au motif qu’une CA n’a aucun moyen fiable de vérifier le nom d’un département. Vous pouvez toujours inclure l’OU lorsque vous générez une CSR, et le décodeur l’affichera, mais la CA le supprime avant l’émission. Rien ne s’est mal passé.
Copier le lien
Qu’est-ce que PKCS#10 ?
PKCS#10 est la norme qui définit le format de CSR, spécifiée dans le RFC 2986. Elle établit quels champs une demande de certification contient et comment ils sont structurés, ce qui explique pourquoi le même CSR fonctionne avec n’importe quelle autorité de certification, sans être lié à celle auprès de laquelle vous avez effectué votre achat.
Copier le lien
Outils SSL connexes
Générateur de CSR
Générez automatiquement votre CSR (Certificate Signing Request) et votre clé privée, en fonction des informations que vous fournissez lors du remplissage du formulaire CSR.
Convertisseur SSL
Convertissez votre certificat SSL/TLS entre les formats PEM, DER, PFX et P7B entièrement dans votre navigateur. Changez de format en quelques clics afin que le certificat s’installe correctement sur le serveur ou la plateforme qui exige un format différent.
Certificate Key Matcher
Vérifiez si votre certificat SSL, votre clé privée et votre CSR proviennent de la même paire de clés. Tout s’exécute dans votre navigateur, de sorte que votre clé privée ne quitte jamais votre appareil.
Vérificateur SSL
Vérifiez instantanément la validité, l’installation et la configuration de sécurité de votre certificat SSL. Testez la force du chiffrement, les dates d’expiration et détectez les problèmes courants pour garantir que votre site web reste sécurisé et digne de confiance pour les visiteurs.
