Vérificateur de correspondance de clé de certificat v1.0
À propos Vérificateur de correspondance de clé de certificat
Un vérificateur de correspondance clé-certificat compare le hachage de la clé publique contenue dans un certificat SSL/TLS avec celui de la clé privée ou de la CSR pour confirmer qu'ils forment une paire valide. L'outil de ToolsPivot effectue cette vérification directement dans le navigateur, sans stocker vos clés sur un serveur tiers et sans inscription.
Installer un certificat SSL sur un serveur Apache, Nginx ou IIS sans vérifier au préalable que la clé privée correspond au certificat est le meilleur moyen de déclencher une erreur de type « Certificate and private key do not match ». Le résultat : le serveur refuse de démarrer, le site affiche une alerte de sécurité et vos visiteurs partent. Avec un outil de correspondance, vous détectez le problème avant qu'il ne se produise.
Comment utiliser le Vérificateur de Correspondance Clé-Certificat de ToolsPivot
Choisissez le type de vérification : sélectionnez « Check if a Certificate and a Private Key match » pour comparer un certificat à sa clé privée, ou « Check if a CSR and a Certificate match » pour vérifier qu'une demande de signature correspond au certificat émis.
Collez le certificat : copiez le contenu complet de votre fichier .crt ou .pem, y compris les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----, puis collez-le dans le champ « Paste Your Certificate Text ».
Collez la clé privée ou la CSR : selon le mode choisi, collez votre clé privée (fichier .key) ou votre CSR (fichier .csr) dans le second champ. Les marqueurs BEGIN et END doivent être présents.
Lancez la vérification : cliquez sur le bouton pour lancer l'analyse. ToolsPivot compare les hachages des clés publiques extraites des deux éléments et affiche le résultat en quelques secondes.
Interprétez le résultat : si les hachages correspondent, votre paire est valide et vous pouvez procéder à l'installation. Sinon, vous devrez retrouver la bonne clé ou générer une nouvelle CSR.
Fonctionnalités du Vérificateur de Correspondance Clé-Certificat de ToolsPivot
L'outil prend en charge deux modes de vérification distincts, chacun répondant à un scénario courant dans la gestion des certificats SSL.
Correspondance certificat / clé privée : le mode principal compare le modulus (pour les clés RSA) ou la clé publique (pour les clés ECC) du certificat avec celui de la clé privée. Si les valeurs sont identiques, les deux fichiers forment une paire. Ce contrôle prévient les erreurs d'installation sur Apache, Nginx, IIS ou tout autre serveur web.
Correspondance CSR / certificat : ce second mode vérifie que le certificat émis par votre autorité de certification (Let's Encrypt, Sectigo, DigiCert, GlobalSign) correspond bien à la demande de signature que vous avez soumise. Si vous gérez plusieurs domaines, cette vérification évite de mélanger les fichiers entre eux.
Aucun stockage côté serveur : l'outil affiche un avertissement clair : les clés privées et les CSR ne sont pas conservées sur les serveurs de ToolsPivot. Un point à prendre en compte pour les administrateurs système soucieux de la confidentialité, même si la vérification locale via OpenSSL reste la méthode la plus sûre pour les environnements sensibles.
Prise en charge du format PEM : les champs acceptent les fichiers au format PEM (encodage Base64 avec les marqueurs BEGIN/END). C'est le format standard utilisé par la majorité des serveurs web et des autorités de certification. Pour convertir un certificat depuis un autre format (DER, PFX/PKCS#12), vous pouvez utiliser le convertisseur SSL avant de lancer la comparaison.
Compatibilité RSA et ECC : l'outil fonctionne avec les clés RSA (2 048 et 4 096 bits) et les clés ECC (courbes elliptiques), les deux standards utilisés par les certificats SSL modernes.
Accès sans inscription : pas de compte à créer, pas de limite quotidienne. Collez vos données, vérifiez la correspondance, fermez l'onglet.
Pourquoi utiliser le Vérificateur de Correspondance Clé-Certificat de ToolsPivot
Éviter les erreurs d'installation SSL : l'erreur « Certificate and private key do not match » est l'une des plus fréquentes lors du déploiement d'un certificat. Un test préalable avec ToolsPivot vous fait gagner le temps de débogage sur le serveur. Si vous gérez la configuration de votre hébergement web, ce contrôle devient un réflexe.
Gérer plusieurs certificats sans confusion : les entreprises qui administrent 5, 10 ou 50 domaines finissent par accumuler des dizaines de fichiers .key, .crt et .csr. Un outil de correspondance permet de retrouver quelle clé privée appartient à quel certificat sans ouvrir un terminal.
Vérifier avant le renouvellement : lors du renouvellement d'un certificat SSL, une nouvelle CSR est souvent générée. Confirmer que le nouveau certificat correspond à la bonne CSR avant l'installation évite une interruption de service. Vous pouvez générer votre CSR avec le générateur de CSR de ToolsPivot.
Valider le travail d'un prestataire : si votre agence web ou votre infogérant s'occupe de la génération des certificats, un test rapide de correspondance vous confirme que les fichiers livrés sont cohérents. Pas besoin de maîtriser OpenSSL pour vérifier.
Gratuit et sans friction : la plupart des alternatives (SSLShopper, SSLTrust, Certera) offrent des fonctionnalités similaires, mais avec des publicités envahissantes ou une interface chargée. L'outil ToolsPivot va à l'essentiel : deux champs, un bouton, un résultat.
Complémentaire avec la suite SSL de ToolsPivot : la vérification de correspondance s'intègre dans un flux complet. Décodez votre CSR avec le décodeur CSR, vérifiez la correspondance, puis contrôlez l'installation finale avec le vérificateur SSL. Trois étapes, trois outils, zéro inscription.
Quand la vérification de correspondance vous évite un blocage
Certaines situations rendent la vérification indispensable. Pas parce que c'est une bonne pratique théorique, mais parce que sans elle, vous risquez de perdre des heures.
Migration de serveur ou changement d'hébergeur. Vous déplacez un site de Gandi vers OVHcloud, ou d'un serveur dédié chez Online.net vers un VPS chez Infomaniak. Pendant le transfert, les fichiers sont copiés manuellement ou via un script. Il suffit d'une clé privée mal associée pour que le HTTPS refuse de fonctionner sur le nouveau serveur. Un test de correspondance avant la mise en production élimine ce risque. Vérifiez aussi le DNS et le statut du serveur après migration.
Gestion de certificats multi-domaines ou wildcard. Un certificat SAN couvrant boutique.monsite.fr, api.monsite.fr et admin.monsite.fr utilise une seule clé privée. Si vous régénérez une clé pour un sous-domaine en pensant que chaque sous-domaine a sa propre clé, vous cassez tout. Le vérificateur clarifie quel certificat va avec quelle clé.
Renouvellement annuel chez un auto-entrepreneur ou une TPE. Vous n'administrez pas de certificats tous les jours. Douze mois passent entre deux renouvellements, et retrouver la bonne clé privée dans un dossier mal organisé peut devenir un casse-tête. Collez votre certificat et votre clé dans l'outil : vous saurez en 3 secondes si la paire est correcte.
Intégration dans un workflow DevOps. Les équipes qui déploient via CI/CD (GitLab CI, GitHub Actions, Jenkins) intègrent parfois des certificats dans des variables d'environnement ou des secrets. Une erreur de copier-coller, un caractère en trop, et le pipeline échoue sans message clair. Tester la correspondance en amont simplifie le diagnostic. Profitez-en aussi pour tester la confidentialité des e-mails liés à votre domaine.
Comment fonctionne la comparaison entre certificat et clé privée
La vérification repose sur un principe mathématique simple. Quand vous générez une paire de clés RSA, la clé privée et la clé publique partagent une valeur commune appelée modulus. Le certificat SSL contient la clé publique (et donc le modulus). La clé privée contient le même modulus plus les composants secrets (exposant privé, facteurs premiers).
L'outil extrait le modulus du certificat et celui de la clé privée, calcule un hachage SHA-256 de chaque valeur, puis compare les deux. Si les hachages sont identiques, la clé privée a bien servi à générer la clé publique présente dans le certificat. Sinon, les fichiers ne sont pas liés.
Pour les clés ECC (Elliptic Curve Cryptography), la logique est similaire mais utilise la clé publique directement au lieu du modulus. Les courbes P-256 et P-384, recommandées par l'ANSSI, sont les plus courantes.
En ligne de commande, la vérification se fait via OpenSSL :
openssl x509 -noout -modulus -in certificat.crt | openssl sha256
openssl rsa -noout -modulus -in cle-privee.key | openssl sha256
Si les deux commandes renvoient le même hachage, la paire est valide. L'outil ToolsPivot automatise exactement cette opération, sans que vous ayez besoin d'installer OpenSSL ni d'ouvrir un terminal. Pour vérifier votre CSR avant l'émission du certificat, le vérificateur de CSR affiche les détails de la demande (domaine, organisation, taille de clé).
Réponses aux questions sur la correspondance clé-certificat
Oui, l'outil est 100 % gratuit, sans inscription et sans limite d'utilisation. Vous pouvez vérifier autant de paires certificat/clé ou CSR/certificat que nécessaire. Aucune fonctionnalité n'est verrouillée derrière un abonnement.
Non. L'outil indique explicitement que les clés privées et les CSR ne sont pas conservées sur ses serveurs. Pour les environnements hautement sensibles (banques, administration publique), la vérification locale via OpenSSL reste recommandée par l'ANSSI et la CNIL dans le cadre des bonnes pratiques RGPD. Pour protéger vos clés stockées sur disque, un utilitaire de chiffrement ajoute une couche de sécurité supplémentaire.
Le premier mode confirme que votre clé privée correspond au certificat que vous allez installer sur le serveur. Le second mode vérifie que le certificat émis par l'autorité de certification a bien été généré à partir de votre CSR. Les deux contrôles sont complémentaires : l'un se fait avant l'installation, l'autre après réception du certificat.
Deux causes probables : soit vous utilisez la mauvaise clé privée (celle d'un ancien certificat ou d'un autre domaine), soit le certificat a été émis à partir d'une CSR différente. La solution est de retrouver la clé privée générée en même temps que la CSR d'origine, ou de générer une nouvelle paire CSR/clé et demander la réémission du certificat à votre autorité de certification. Si vous soupçonnez une compromission, pensez aussi à renforcer vos mots de passe serveur.
Oui. Les certificats Let's Encrypt utilisent le format PEM standard. Collez le contenu de votre fichier fullchain.pem (ou cert.pem) et de votre fichier privkey.pem dans les champs correspondants. La vérification fonctionne de la même manière qu'avec un certificat Sectigo, DigiCert ou GlobalSign.
L'outil accepte uniquement le format PEM (texte encodé en Base64). Si votre certificat est au format DER (binaire) ou PFX/PKCS#12, convertissez-le d'abord en PEM via OpenSSL ou un convertisseur en ligne, puis collez le résultat dans le vérificateur.
Oui. L'outil prend en charge les clés RSA (2 048 et 4 096 bits) ainsi que les clés ECC (courbes P-256, P-384). Les certificats ECC sont de plus en plus courants, notamment avec Let's Encrypt qui propose les deux types de clés.
En ligne de commande, la commande openssl rsa -check -in cle.key renvoie « RSA key ok » si la structure est correcte. Sur ToolsPivot, vous pouvez d'abord décoder votre certificat avec le décodeur de certificat pour vérifier les informations qu'il contient (domaine, dates de validité, autorité émettrice).
Apache compare le modulus du certificat et de la clé privée au démarrage. Si les valeurs diffèrent, le serveur refuse de charger la configuration SSL. Cette erreur survient généralement après un renouvellement où l'ancienne clé privée est restée en place alors que le nouveau certificat a été généré avec une nouvelle CSR.
Oui, systématiquement. Même si vous utilisez un outil automatisé comme Certbot pour Let's Encrypt, un test rapide après le renouvellement confirme que le serveur utilise bien la bonne paire. En cas de doute, contrôlez aussi la configuration complète de votre domaine avec le Whois pour vérifier que les informations sont à jour.
Le décodeur de certificat affiche les informations contenues dans le certificat (domaine, émetteur, dates, algorithme). Le vérificateur de correspondance compare deux fichiers pour confirmer qu'ils forment une paire. Le premier répond à « que contient mon certificat ? », le second à « est-ce que ces deux fichiers vont ensemble ? ».
Oui. L'interface s'adapte aux écrans mobiles. Coller un certificat depuis un gestionnaire de fichiers mobile est moins pratique que depuis un ordinateur, mais la fonctionnalité est identique. Pour les administrateurs en déplacement, c'est une option de dépannage rapide.
Non. Elle confirme uniquement que le certificat et la clé privée forment une paire valide. Un audit SSL complet vérifie aussi la chaîne de certification, les protocoles TLS activés, les suites de chiffrement et les vulnérabilités connues. Le vérificateur de sécurité de site couvre une partie de ces aspects.
