Analyseur de certificat X.509

Un certificat X.509 est un document signé numériquement qui lie une clé publique à une identité (domaine, organisation ou personne). Il contient : la version, le numéro de série, l'algorithme de signature, le nom distinctif de l'émetteur (issuer DN), la période de validité (notBefore/notAfter), le nom distinctif du sujet (subject DN), les informations de la clé publique (algorithme + clé) et les extensions (SAN, utilisation de clé, contraintes de base, points de distribution CRL, URL OCSP). L'AC signe la structure TBSCertificate du certificat pour produire le certificat final.

Les certificats de validation de domaine (DV) vérifient uniquement que le demandeur contrôle le domaine, via un défi DNS ou HTTP. Les certificats de validation d'organisation (OV) vérifient en plus l'identité juridique de l'organisation par la documentation. Les certificats de validation étendue (EV) exigent la vérification la plus rigoureuse, y compris l'existence légale, l'adresse physique et la vérification du téléphone. Le DV est suffisant pour le chiffrement ; l'OV/EV fournissent une assurance d'identité pour des scénarios de confiance plus élevés.

Le SAN (RFC 5280) est une extension X.509v3 qui liste tous les noms de domaine et adresses IP pour lesquels un certificat est valide. Les navigateurs modernes (depuis 2017) n'utilisent que le SAN pour la validation du nom d'hôte et ignorent le champ Common Name (CN) à cette fin. Un certificat sans SAN sera rejeté même si le CN correspond. Les SAN génériques (*.example.com) correspondent à un seul niveau de sous-domaine et ne couvrent pas le domaine racine ni les sous-domaines plus profonds.

La validation de la chaîne vérifie que chaque certificat de la chaîne est signé par le certificat suivant jusqu'à une autorité de certification racine de confiance. Le navigateur/système d'exploitation maintient un magasin de confiance de certificats d'AC racines pré-installés. Les vérifications de validation incluent : la validité de la signature à chaque niveau, la période de validité, les extensions d'utilisation de clé, le statut de révocation (CRL ou OCSP) et que l'AC émettrice a la contrainte de base CA:TRUE. Une chaîne n'est valide que si toutes les vérifications réussissent à chaque niveau.