Outils de sécurité › ICP et certificats › Apprendre et explorer
Apprendre et explorer
Voyez comment un certificat X.509 est construit et signé, où les serveurs exposés à Internet présentent des certificats dans le monde et qui les a délivrés, et où trouver de l'information. Pour l'instant, les résultats des outils s'affichent en anglais.
- 4 outils gratuits
- Rien n'est téléversé ni conservé
- X.509 · TLS
Apprendre et explorer
Comment les certificats sont construits, où ils sont utilisés et où trouver de l'information.
Anatomie d'un certificat X.509
Chaque certificat est une structure de données signée : l'AC signe la partie à signer (to-be-signed) avec sa clé privée, et n'importe qui peut vérifier cette signature avec la clé publique de l'AC.
Certificats utilisés dans le monde
Où les serveurs exposés à Internet présentent-ils des certificats TLS, et qui les a délivrés? Un instantané tiré de données d'analyse de l'ensemble d'Internet.
Taille des bulles = nombre d’hôtes dans le pays. Faites glisser ou utilisez les flèches pour faire tourner.
| Pays | Hôtes | Part |
|---|
Principaux émetteurs de certificats (par nombre d'hôtes)
Ce que cela révèle. Let's Encrypt, Amazon, DigiCert, Google, Sectigo et GlobalSign dominent les certificats de confiance publique. Mais de nombreux « émetteurs » ne sont pas des AC : Orange, Freebox, ZTE, Huawei, DrayTek, Sagemcom, Fortinet, SonicWall, WatchGuard et Synology sont des routeurs, des pare-feu et des boîtiers NAS qui présentent leurs propres certificats autosignés, ce qui explique le rang élevé de la France. Des noms comme « Internet Widgits Pty Ltd », « Acme Co » et « Example Corp » proviennent d'exemples de configuration jamais remplacés. Chacun d'eux est un appareil dont l'interface de gestion est accessible depuis Internet.
Source : Censys données d'analyse d'Internet, instantané pris le 21 octobre 2026. Les nombres correspondent aux hôtes (adresses IP) présentant un certificat TLS non expiré, ce qui n'équivaut pas à « de confiance publique ». L'emplacement est celui où l'adresse IP du serveur est enregistrée, et non celui du titulaire du certificat. Un hôte peut présenter plusieurs certificats. La page affiche un instantané conservé : votre visite n'interroge pas Censys. Contour de la carte : Natural Earth (domaine public).
Recherches en direct
Pour les vérifications qui exigent Internet en direct, nous vous dirigeons vers des services gratuits reconnus plutôt que d'effectuer des analyses depuis nos serveurs.
Notre démarche
Des outils gratuits ne devraient créer de risque ni pour les personnes qui les utilisent ni pour qui que ce soit. Voici les règles que suit chaque outil de cette page :
- S'exécute dans votre navigateur. L'analyse, les vérifications et la génération de clés utilisent JavaScript et l'API Web Cryptography de votre navigateur. Il n'y a ni téléversement, ni journalisation, ni stockage : vous pouvez le confirmer dans les outils de développement de votre navigateur (onglet Réseau).
- Jamais de clés privées. Aucun outil de vérification n'accepte de clé privée; ils la refusent si vous la collez. Les clés créées par les générateurs n'existent que dans votre onglet jusqu'à ce que vous les enregistriez.
- Aucune analyse depuis nos serveurs. Nos serveurs ne récupèrent jamais d'URL, de LCR, de réponses OCSP ni de points de terminaison ACME, EST ou SCEP, et ne se connectent à aucun hôte en votre nom : les outils ne peuvent donc pas être retournés contre le réseau de quelqu'un d'autre. Trois outils vont en ligne : l'outil de test ACME, la recherche dans les journaux CT et le vérificateur de SCT. Lorsque vous lancez un test, votre propre navigateur communique directement avec le service concerné (l'AC publique choisie, crt.sh ou Cert Spotter, Google Public DNS et les listes de journaux CT publiées par Google et Apple); la politique de sécurité de la page n'autorise que ces hôtes, et rien ne passe par CSMIC. La requête signée de l'outil ACME utilise une clé à usage unique et ne crée rien. Pour tout le reste, nous vous donnons la commande à exécuter vous-même.
- Aucun certificat de confiance pour de vrais domaines. L'atelier de certificats de développement ne délivre que pour des noms de test réservés, utilise une racine à usage unique dont la clé est détruite après la signature, et restreint cette racine pour qu'elle ne puisse garantir aucun vrai site Web.
- Aucun service tiers. La page utilise notre propre code, les fonctions intégrées du navigateur et une bibliothèque libre (noble-post-quantum, licence MIT) que nous hébergeons nous-mêmes : aucun CDN, aucun traceur, aucune publicité.
Outils que nous avons choisi de ne pas offrir
- Décodeurs de clés privées ou de PKCS#12 — coller des clés dans des sites Web est une habitude que nous ne voulons pas encourager. Utilisez OpenSSL sur votre propre ordinateur.
- Une AC publique ou un « certificat pour n’importe quel domaine » — un émetteur ouvert serait un outil d'hameçonnage.
- Signature avec vos propres clés — le signataire CMS utilise des clés à usage unique créées dans votre navigateur; les vraies clés de signature ont leur place dans votre HSM ou votre magasin de clés.
- Analyseurs de ports, de chiffrements ou de vulnérabilités — il est facile de les diriger contre des systèmes qui ne vous appartiennent pas.
- Outils de « cassage » de mots de passe ou de clés et démonstrations de factorisation de clés faibles sur de vrais certificats.
Ces outils sont fournis gratuitement et tels quels, à des fins légales, défensives et éducatives, sans garantie. Ils ne remplacent pas une évaluation professionnelle de l'ICP. Besoin d'aide pour concevoir ou auditer une ICP, un déploiement de HSM ou la gestion du cycle de vie des certificats? Parlez à CSMIC.