Priorité au local : les clés et les signatures que vous collez restent dans votre navigateur
La maison des signatures numériques.
ECDSA signe l’essentiel de l’internet moderne : TLS, SSH, JWT, clés d’accès, Bitcoin et Ethereum. Quand une signature refuse de se vérifier, c’est ici que vous la déboguez : des outils gratuits qui détectent automatiquement les courbes, les formats et les encodages, et expliquent ce qui ne va vraiment pas.
Détection locale, dans votre navigateur : rien de ce que vous collez ne quitte la page.
- outils gratuits
- 91
- sans accès payant ni période d’essai
- s’exécutent entièrement dans votre navigateur
- 64/91
- les autres indiquent ce qu’ils envoient
- compte requis
- 0
- ouvrez un outil et collez
- horizon du projet du NIST
- 2035
- signatures classiques non autorisées
Signature Lab
Des outils gratuits qui effectuent les calculs cryptographiques dans votre navigateur : pas de compte, et rien de ce que vous collez n’est envoyé nulle part. Les quelques outils qui doivent consulter des données publiques (un domaine, une URL, une adresse Bitcoin) l’indiquent sur leur page avant de le faire.
Parcourir par catégorie
- Signatures7 outilsVérifiez une signature, convertissez son encodage, découvrez pourquoi elle ne se vérifie pas, générez des vecteurs de test, observez l’arithmétique des courbes elliptiques sous-jacente et fractionnez un secret en parts de Shamir : chaque outil s’exécute dans votre navigateur.
- JOSE et JWT9 outilsSignez, décodez et vérifiez des JSON Web Tokens, déchiffrez des JWE, lisez des jetons PASETO, générez des clés et convertissez-les entre JWK, PEM et SSH, et construisez ou vérifiez les jeux de clés sur lesquels ils s’appuient, avec des explications claires de ce qui ne va pas.
- Certificats et clés17 outilsDécodez des certificats, des demandes de signature, des listes de révocation, des réponses OCSP et des horodatages Certificate Transparency ; générez une CSR et sa clé, vérifiez qu’une clé, un certificat et une CSR vont ensemble, comparez deux certificats, remettez une chaîne dans l’ordre et récupérez les intermédiaires manquants, calculez des empreintes SPKI à épingler et vérifiez si des clés présentent des faiblesses connues ; ouvrez des fichiers PFX, découpez des bundles PEM, explorez de l’ASN.1 brut et composez la commande openssl qu’il vous faut. Les clés restent dans votre navigateur ; les quelques vérifications qui ont besoin de notre serveur indiquent ce qu’elles envoient avant de l’envoyer.
- TLS et DNS9 outilsGénérez une configuration TLS pour votre serveur, préparez-vous aux certificats de 47 jours, publiez des enregistrements CAA, TLSA et security.txt, suivez la chaîne de confiance DNSSEC, voyez si votre navigateur utilise déjà le TLS post-quantique et vérifiez de nombreux domaines à la fois. Chaque page indique exactement ce qu’elle envoie sur le réseau, le cas échéant.
- E-mail5 outilsDécouvrez pourquoi la vérification d’une signature DKIM échoue, voyez ce que chaque serveur de transfert a enregistré dans une chaîne ARC, créez la clé et l’enregistrement DNS de votre propre domaine, et vérifiez l’enregistrement BIMI d’une marque et son certificat de marque (Mark Certificate). Les outils DKIM et ARC analysent les messages dans votre navigateur et ne consultent que des noms de clés publiques via DNS-over-HTTPS ; l’analyse complète SPF, DKIM, DMARC, ARC, BIMI et MTA-STS s’exécute sur notre serveur et n’envoie le message qu’après votre accord.
- Web313 outilsDécodez une transaction Ethereum brute ou une délégation EIP-7702, lisez ce qu’une signature de données typées céderait avant de la signer, vérifiez qui a signé un message Ethereum ou une demande de connexion, comparez les hashs d’une transaction Safe avec votre portefeuille matériel, recherchez des nonces ECDSA réutilisés, inspectez des PSBT et des xpub, et vérifiez des signatures Bitcoin (BIP-137/322), Solana et Nostr. Tout s’exécute dans votre navigateur ; les consultations de la blockchain ne sont adressées à un nœud RPC public que lorsque vous le demandez. Les phrases de récupération et les clés privées ne sont jamais acceptées.
- Post-quantique6 outilsLa cryptographie post-quantique en pratique : signez avec ML-DSA et SLH-DSA, encapsulez avec ML-KEM et avec l’hybride X25519MLKEM768 que les navigateurs utilisent déjà, mesurez les performances de plus de 100 algorithmes liboqs, et inspectez des certificats PQ, ainsi que HPKE et age, le tout dans votre navigateur, sans rien envoyer.
- Identité et clés d’accès12 outilsEnregistrez une vraie clé d’accès, connectez-vous avec elle et identifiez l’authentificateur dont elle provient grâce au service de métadonnées FIDO, validez des jetons d’ID OpenID Connect et des réponses SAML, inspectez les attestations du portefeuille européen d’identité numérique (SD-JWT VC et mdoc), les preuves DPoP, COSE et CWT, ainsi que les requêtes HTTP signées par des bots et des agents d’IA. Les jetons et les clés sont vérifiés dans votre navigateur ; la recherche d’authentificateur ne demande à notre serveur que des métadonnées publiques.
- Signature de code et de documents12 outilsAvant d’exécuter une version, contrôlez ce qu’elle est réellement. Vérifiez les bundles Sigstore et la provenance npm jusqu’au dépôt, au workflow et au commit qui les ont produits, lisez les attestations SLSA et in-toto, contrôlez les commits Git et les fichiers signés avec SSH par rapport à allowed_signers, et inspectez les signatures des exécutables Windows, des APK Android et des archives Java. Pour les documents et les médias aussi : vérifiez les signatures PDF (PAdES, LTV) et les e-mails signés (S/MIME) sans rien envoyer, décodez les horodatages RFC 3161, lisez les Content Credentials (C2PA) des images et des vidéos, et prouvez qu’une clé a été générée sur une YubiKey. Les fichiers et les clés restent dans votre navigateur ; le vérificateur npm interroge le registre public sur le paquet que vous indiquez, et la seconde vérification Sigstore, facultative, n’envoie à notre serveur que le bundle et le condensat du fichier.
- OpenPGP1 outilCollez une clé, une signature ou un message avec armure ASCII, ou ouvrez un fichier .gpg, .sig ou .asc, et affichez chaque paquet : sous-clés, ID utilisateur et autosignatures, expiration et révocation, algorithmes, y compris les clés v6 de la RFC 9580 et les nouveaux identifiants des algorithmes post-quantiques. Avec la clé publique du signataire, vérifiez les signatures détachées, en texte clair et intégrées, comme gpg --verify, sans installer GnuPG. Tout s’exécute dans votre navigateur, et les clés privées sont refusées sans être lues.
Outils à la une
Signature Error Explainer — diagnostic des erreurs de signature
Diagnostiquer pourquoi la vérification échoue
Votre signature semble valide, mais la vérification échoue ? Collez la clé, le message et la signature. L’outil teste les causes de non-correspondance les plus courantes : mauvaise fonction de hachage, mauvaise courbe, confusion d’encodage, high-S, double hachage.
Ouvrir l’outilNonce Reuse Checker — vérificateur de réutilisation de nonce
Rechercher des valeurs r répétées dans une adresse Bitcoin
L’erreur fatale d’ECDSA : signer deux fois avec le même nonce révèle la clé privée. Collez une adresse Bitcoin : le vérificateur analyse ses signatures passées à la recherche de valeurs r répétées, l’empreinte d’une réutilisation de nonce.
Ouvrir l’outilOpenSSL Command Builder — générateur de commandes OpenSSL
Composer la commande openssl qu’il vous faut
Choisissez une tâche (clés EC ou RSA, certificats auto-signés, CSR, fichiers PKCS#12, signatures, tests TLS), remplissez les champs et copiez une commande qui fonctionne, avec chaque option expliquée. Collez une commande trouvée ailleurs, et l’outil l’explique aussi.
Ouvrir l’outilJWT Signer — signature de JWT
Signer des jetons avec votre propre clé
Construisez un JWT à partir d’un en-tête et de claims, définissez iat, nbf et exp en temps relatif, puis signez-le avec n’importe quel algorithme JOSE : HMAC, RSA, RSA-PSS, ECDSA ou EdDSA. La clé reste dans votre navigateur.
Ouvrir l’outilASN.1 Explorer — explorateur ASN.1
Décoder n’importe quelle structure DER ou BER
Collez du PEM, du base64 ou de l’hexadécimal, ou déposez un fichier DER, puis parcourez son arbre ASN.1 avec les décalages en octets, les noms d’OID et l’hexadécimal surligné. Chaque endroit qui relève du BER sans être du DER est signalé.
Ouvrir l’outilCSR Generator — générateur de CSR
Créer une CSR et sa clé en local
Créez une demande de signature de certificat PKCS #10 avec une clé générée dans votre navigateur ou avec votre propre clé. Récupérez les fichiers PEM et la commande openssl req équivalente : la clé privée ne quitte jamais la page.
Ouvrir l’outilTLS Config Generator — générateur de configurations TLS
Configurations SSL pour 28 serveurs
Paramètres TLS pour nginx, Apache, HAProxy, Caddy, Postfix, Node.js, Go, Java, .NET et 19 autres serveurs, d’après les recommandations TLSRef (qui prennent la suite de celles de Mozilla), avec l’échange de clés post-quantique lorsque votre version le prend en charge, et un module d’explication pour la configuration que vous utilisez déjà.
Ouvrir l’outil47-Day Certificate Calculator — calculateur pour les certificats de 47 jours
Planifier les renouvellements pour 200 → 100 → 47 jours
La durée de vie des certificats TLS de confiance publique passe de 398 jours à 200, 100 et enfin 47 jours d’ici 2029. Voyez ce que cela implique pour vos certificats : renouvellements et validations de domaine par an, prochaines échéances et points où votre politique de renouvellement ne tient plus.
Ouvrir l’outilPost-Quantum Browser Check — test TLS post-quantique du navigateur
Votre navigateur utilise-t-il ML-KEM ?
Un clic montre si votre navigateur négocie l’hybride post-quantique X25519MLKEM768 avec Cloudflare, en TLS sur TCP et dans QUIC (HTTP/3), si c’est bien ce que sa version devrait faire, et ce que changent les proxys d’interception ou les anciennes versions.
Ouvrir l’outilDKIM Debugger — débogueur DKIM
Pourquoi une signature DKIM échoue, pas à pas
Collez un e-mail brut et suivez la vérification de chaque signature DKIM : canonicalisation simple et relaxed avec chaque modification mise en évidence, condensats du corps et des en-têtes, clé obtenue par DNS. Lorsqu’une signature échoue, le débogueur reconstitue ce que le signataire a vu et nomme la modification qui l’a cassée.
Ouvrir l’outilEIP-712 Inspector — inspecteur EIP-712
Ce qu’autorise réellement une signature de données typées
Collez les données typées qu’un site demande à votre portefeuille de signer et lisez, en termes simples, ce que la signature autorise : permits de jetons, montants autorisés Permit2, ordres Seaport, Blur, LooksRare et CoW. L’outil signale les approbations illimitées, les mises en vente qui ne vous rapportent rien, les échéances lointaines, la mauvaise chaîne et les contrats contrefaits.
Ouvrir l’outilEthereum Transaction Decoder — décodeur de transactions Ethereum
Décoder des transactions brutes signées
Collez une transaction brute ou un objet eth_getTransactionByHash : chaque champ, l’expéditeur récupéré à partir de la signature, l’appel de fonction décodé et des avertissements pour les approbations illimitées et les délégations. Toutes les enveloppes, de legacy à EIP-7702.
Ouvrir l’outilPost-Quantum Signatures — signatures post-quantiques
Signer et vérifier avec ML-DSA, SLH-DSA, Falcon
Générez des clés, signez et vérifiez avec ML-DSA, SLH-DSA et Falcon, avec chaînes de contexte, modes pré-hachage et déterministe. Voyez à quel point les clés et les signatures post-quantiques sont plus grandes que celles d’ECDSA et d’Ed25519.
Ouvrir l’outilPasskey Sandbox — bac à sable de clés d’accès
Tester l’inscription et la connexion par clé d’accès
Enregistrez une vraie clé d’accès et authentifiez-vous avec elle auprès d’une partie de confiance qui s’exécute dans cette page : les options WebAuthn, chaque étape de vérification des §7.1 et §7.2, les indicateurs, l’attestation et la fiche d’identifiant.
Ouvrir l’outilSigstore Bundle Verifier — vérificateur de bundles Sigstore
Bundles cosign, npm et attestations GitHub
Vérifiez un bundle Sigstore par rapport au fichier qu’il signe et à l’identité attendue : le certificat Fulcio et ses SCT, l’entrée du journal Rekor avec sa preuve d’inclusion et son checkpoint, les horodatages signés et RFC 3161, les signatures DSSE et de message – hors ligne, comme cosign verify-blob.
Ouvrir l’outilSSH Signature Verifier — vérificateur de signatures SSH
Fichiers ssh-keygen -Y, commits et tags signés
Vérifiez une signature SSHSIG produite avec ssh-keygen -Y sign, ou un commit ou un tag Git signé avec une clé SSH, à l’aide d’un fichier allowed_signers : espaces de noms, principaux, périodes de validité et certificats SSH, selon les mêmes règles que ssh-keygen.
Ouvrir l’outilPDF Signature Verifier — vérificateur de signatures PDF
Vérifier des signatures PDF sans rien envoyer
Déposez un PDF signé pour voir ce que couvre chaque signature, si le document a changé après la signature, qui l’a signé et quand. PAdES, CMS, les horodatages RFC 3161 et les données LTV sont vérifiés dans votre navigateur : le fichier n’est jamais envoyé.
Ouvrir l’outilComment fonctionne le Lab
Conçu comme un établi, pas comme un service web : la page est la machine tout entière.
Collez vos données
Une clé publique, un JWT, un certificat, une signature récalcitrante : tout ce qui refuse de se vérifier. Pas d’inscription, pas de bouton d’envoi de fichier.
Analyse dans votre navigateur
Les courbes, les formats et les encodages sont détectés automatiquement et vérifiés directement dans l’onglet, avec WebCrypto et des bibliothèques open source auditées. Vos clés et vos signatures ne transitent jamais par le réseau.
Une réponse, avec le pourquoi
Pas seulement « valide » ou « invalide » : les outils testent les causes d’incompatibilité habituelles et expliquent le mécanisme réel, en langage clair.
Depuis le code et les agents d’IA
Les moteurs des outils répondent aussi à vos scripts, à vos pipelines et à vos assistants.
API REST
API de signature gratuite
Vérifiez des signatures ECDSA, convertissez DER ⇄ brut, décodez et vérifiez des JWT et des certificats, notez un domaine : du JSON simple sur HTTPS, sans clé d’API. Les requêtes qui contiennent une clé privée sont refusées avant tout traitement.
Documentation de l’APISDK
Bibliothèques clientes dans huit langages
TypeScript, Python, Go, Java, C#, PHP, Rust et Ruby : toutes ces bibliothèques sont soumises à une même suite de tests de conformité ; chacune refuse d’envoyer une clé privée avant qu’une requête ne quitte votre machine. La publication dans les registres de paquets est en préparation.
En savoir plus sur les SDKMCP
Un serveur pour les agents d’IA
Pointez n’importe quel client Model Context Protocol vers https://ecdsa.com/api/mcp : la vérification de signatures, le décodage de JWT et de certificats, le diagnostic de domaines et la consultation de références deviennent des outils que votre assistant peut appeler.
Nouvelle étude · 500 domaines mesurés
L’état des signatures sur le web
Nous avons analysé les sites les plus fréquentés d’internet avec le même moteur que celui de notre outil de notation des domaines. RSA devance encore ECDSA (62/38), un quart d’entre eux répondent encore à un handshake TLS 1.0, et à peine un pour cent survivrait à la limite de 47 jours pour les certificats, qui arrive en 2029. Graphiques, méthodologie et données brutes : tout est public.
Lire le rapportAu-delà du Lab
Deux vérifications plus poussées pour ce que vous faites tourner en production :
Vérification de domaine
Signature Health : notez votre domaine de A à F
Chaîne de certificats, algorithmes de clé, version minimale du protocole, nouvelles règles de durée de vie de 47 jours et préparation post-quantique : une analyse, une lettre, un badge pour README et des alertes d’expiration gratuites. Le domaine que vous saisissez est analysé depuis notre serveur.
10 questions
Planificateur de migration PQC
Répondez à dix questions sur votre stack technique et obtenez un plan de migration post-quantique priorisé, aligné sur le calendrier du projet du NIST : généré en local, exportable en Markdown ou en PDF.
NIST IR 8547
ECDSA a une date de retraite.
Le projet de plan de transition du NIST n’autoriserait plus, après 2035, les signatures actuelles sur courbe elliptique et RSA, au profit d’algorithmes post-quantiques. Dans le même temps, la durée de vie des certificats TLS passe de 200 jours (2026) à 47 jours (2029). Savoir exactement où et comment vos systèmes signent cesse d’être facultatif bien avant l’une ou l’autre de ces dates.
Compte à rebours jusqu’à la fin de 2035
…jusqu’à la date où NIST IR 8547 (projet public initial) rendrait les algorithmes de signature classiques (ECDSA, EdDSA et RSA, quelle que soit la taille de clé) non autorisés pour un usage fédéral. C’est l’échéance de référence pour P-256 et RSA-3072.
Une étape plus tôt, dans ~— ans : les jeux de paramètres à 112 bits (RSA-2048 et P-224) sont déconseillés après 2030, c’est-à-dire encore utilisables, mais avec un risque reconnu. C’est prévu, pas urgent, mais l’inventaire qui rend l’une ou l’autre de ces dates gérable prend plus de temps à constituer que le remplacement lui-même.
Apprendre
Les concepts derrière les outils : courts, précis et sans approximations.
Cours gratuit · 7 leçons
Signatures à la main
Apprenez ECDSA en le calculant. Additionnez des points sur une toute petite courbe, dérivez une clé publique, produisez une signature à la main, puis refaites-le pour de vrai sur P-256 et diagnostiquez une signature qui ne se vérifie pas.
À venir
Le Lab est la première étape. Nous construisons la plateforme autour de lui :
Déjà disponible
Scanner de dépôts
Un outil CLI sans dépendance qui recense tous les endroits où votre code signe ou vérifie : bibliothèques, courbes, gestion des clés, configuration JWT, avec des constats classés par niveau de confiance. Sortie en texte, JSON et SARIF.
npx ecdsa-scan . →En développement
Inventaire de signature
Une seule carte, du dépôt à la clé et de la clé à l’environnement : quelles clés existent, ce qu’elles signent, quels algorithmes elles utilisent et ce qui doit migrer avant les échéances post-quantiques.
Prévu
Surveillance à l’exécution
Des intégrations en lecture seule avec AWS KMS et Vault, qui transforment les événements de signature bruts en une vue claire : quelle clé a signé quoi, depuis où et selon quelle politique.