Signature de code et de documents
Avant d’exécuter une version, contrôlez ce qu’elle est réellement. Vérifiez les bundles Sigstore et la provenance npm jusqu’au dépôt, au workflow et au commit qui les ont produits, lisez les attestations SLSA et in-toto, contrôlez les commits Git et les fichiers signés avec SSH par rapport à allowed_signers, et inspectez les signatures des exécutables Windows, des APK Android et des archives Java. Pour les documents et les médias aussi : vérifiez les signatures PDF (PAdES, LTV) et les e-mails signés (S/MIME) sans rien envoyer, décodez les horodatages RFC 3161, lisez les Content Credentials (C2PA) des images et des vidéos, et prouvez qu’une clé a été générée sur une YubiKey. Les fichiers et les clés restent dans votre navigateur ; le vérificateur npm interroge le registre public sur le paquet que vous indiquez, et la seconde vérification Sigstore, facultative, n’envoie à notre serveur que le bundle et le condensat du fichier.
12 outils
Sigstore Bundle Verifier — vérificateur de bundles Sigstore
Bundles cosign, npm et attestations GitHub
Vérifiez un bundle Sigstore par rapport au fichier qu’il signe et à l’identité attendue : le certificat Fulcio et ses SCT, l’entrée du journal Rekor avec sa preuve d’inclusion et son checkpoint, les horodatages signés et RFC 3161, les signatures DSSE et de message – hors ligne, comme cosign verify-blob.
Ouvrir l’outilnpm Provenance Checker — vérificateur de provenance npm
Où un paquet npm a réellement été construit
Saisissez un paquet et une version : votre navigateur récupère les attestations du registre, qui sont vérifiées ici (la provenance SLSA signée avec Sigstore et l’attestation de publication du registre) jusqu’au dépôt, au workflow et au commit qui ont construit le tarball.
Ouvrir l’outilin-toto Attestation Viewer — visualiseur d’attestations in-toto
Provenance SLSA, DSSE et .intoto.jsonl
Collez une enveloppe DSSE, un fichier .intoto.jsonl, un bundle Sigstore ou la liste d’attestations de npm : voyez les sujets de la déclaration et ce que dit son prédicat (provenance SLSA, résumés de vérification, SBOM), puis vérifiez les signatures avec vos clés ou le certificat intégré.
Ouvrir l’outilSSH Signature Verifier — vérificateur de signatures SSH
Fichiers ssh-keygen -Y, commits et tags signés
Vérifiez une signature SSHSIG produite avec ssh-keygen -Y sign, ou un commit ou un tag Git signé avec une clé SSH, à l’aide d’un fichier allowed_signers : espaces de noms, principaux, périodes de validité et certificats SSH, selon les mêmes règles que ssh-keygen.
Ouvrir l’outilAuthenticode Inspector — inspecteur Authenticode
Signatures des fichiers EXE, DLL et SYS de Windows
Déposez un exécutable Windows : son condensat d’image Authenticode est recalculé et chaque signature est vérifiée (certificat du signataire et chaîne, signatures SHA-1 et SHA-256 imbriquées, horodatages RFC 3161 et contre-signatures), avec des avertissements pour les données cachées après la signature.
Ouvrir l’outilAPK Signature Inspector — inspecteur de signatures APK
Schémas de signature des APK Android v1–v4
Déposez un APK (et son .idsig) : chaque schéma de signature est vérifié comme le fait apksigner (signataires v2, v3 et v3.1 avec leurs condensats de contenu, leurs plages de SDK et leur lignée de rotation des clés, arbre de Merkle v4, signature JAR v1), avec l’empreinte du certificat par laquelle Android identifie l’application.
Ouvrir l’outilJAR Signature Inspector — inspecteur de signatures JAR
Fichiers JAR, WAR et EAR signés, entrée par entrée
Déposez un JAR, WAR ou EAR : chaque entrée est vérifiée par rapport au manifeste, chaque fichier de signature par rapport au manifeste et chaque bloc PKCS #7 par rapport à son fichier de signature, avec les horodatages et la chaîne du signataire – le verdict de jarsigner -verify -strict, entrée par entrée.
Ouvrir l’outilPDF Signature Verifier — vérificateur de signatures PDF
Vérifier des signatures PDF sans rien envoyer
Déposez un PDF signé pour voir ce que couvre chaque signature, si le document a changé après la signature, qui l’a signé et quand. PAdES, CMS, les horodatages RFC 3161 et les données LTV sont vérifiés dans votre navigateur : le fichier n’est jamais envoyé.
Ouvrir l’outilS/MIME Signature Verifier — vérificateur de signatures S/MIME
Vérifier un e-mail signé en local
Collez un e-mail signé ou ouvrez le fichier .eml, .p7m ou .p7s : la signature CMS, le certificat du signataire, la concordance de son adresse e-mail avec l’en-tête From: et la chaîne de certificats sont vérifiés dans votre navigateur.
Ouvrir l’outilTimestamp Token Inspector — inspecteur de jetons d’horodatage
Décoder et vérifier des jetons RFC 3161
Collez un jeton, une réponse ou une requête d’horodatage : TSTInfo est décodé, le condensat du message est comparé à votre fichier, le nonce à la requête, et la signature et la chaîne de certificats de la TSA sont vérifiées, le tout dans votre navigateur.
Ouvrir l’outilC2PA Content Credentials Inspector — inspecteur de manifestes C2PA
Lire et vérifier des Content Credentials
Déposez une photo, une vidéo ou un fichier audio pour lire ses Content Credentials : qui a signé le fichier, quels outils l’ont créé et modifié, si une IA est intervenue, à partir de quoi il a été réalisé, et s’il a été modifié depuis sa signature. Lecture dans votre navigateur avec l’implémentation de référence C2PA.
Ouvrir l’outilYubiKey Attestation Verifier — vérificateur d’attestations YubiKey
Prouver qu’une clé a été créée sur une YubiKey
Collez une attestation YubiKey PIV et le certificat f9 de l’appareil : la chaîne jusqu’à l’AC Yubico est vérifiée, puis l’emplacement, le micrologiciel, le numéro de série et les politiques de PIN et de toucher sont lus, pour que vous puissiez exiger une clé générée dans le matériel avant d’émettre un certificat.
Ouvrir l’outil