Tous les outils

Vérifiez une signature, convertissez son encodage, découvrez pourquoi elle ne se vérifie pas, générez des vecteurs de test, observez l’arithmétique des courbes elliptiques sous-jacente et fractionnez un secret en parts de Shamir : chaque outil s’exécute dans votre navigateur.

Signez, décodez et vérifiez des JSON Web Tokens, déchiffrez des JWE, lisez des jetons PASETO, générez des clés et convertissez-les entre JWK, PEM et SSH, et construisez ou vérifiez les jeux de clés sur lesquels ils s’appuient, avec des explications claires de ce qui ne va pas.

Décodez des certificats, des demandes de signature, des listes de révocation, des réponses OCSP et des horodatages Certificate Transparency ; générez une CSR et sa clé, vérifiez qu’une clé, un certificat et une CSR vont ensemble, comparez deux certificats, remettez une chaîne dans l’ordre et récupérez les intermédiaires manquants, calculez des empreintes SPKI à épingler et vérifiez si des clés présentent des faiblesses connues ; ouvrez des fichiers PFX, découpez des bundles PEM, explorez de l’ASN.1 brut et composez la commande openssl qu’il vous faut. Les clés restent dans votre navigateur ; les quelques vérifications qui ont besoin de notre serveur indiquent ce qu’elles envoient avant de l’envoyer.

Générez une configuration TLS pour votre serveur, préparez-vous aux certificats de 47 jours, publiez des enregistrements CAA, TLSA et security.txt, suivez la chaîne de confiance DNSSEC, voyez si votre navigateur utilise déjà le TLS post-quantique et vérifiez de nombreux domaines à la fois. Chaque page indique exactement ce qu’elle envoie sur le réseau, le cas échéant.

Découvrez pourquoi la vérification d’une signature DKIM échoue, voyez ce que chaque serveur de transfert a enregistré dans une chaîne ARC, créez la clé et l’enregistrement DNS de votre propre domaine, et vérifiez l’enregistrement BIMI d’une marque et son certificat de marque (Mark Certificate). Les outils DKIM et ARC analysent les messages dans votre navigateur et ne consultent que des noms de clés publiques via DNS-over-HTTPS ; l’analyse complète SPF, DKIM, DMARC, ARC, BIMI et MTA-STS s’exécute sur notre serveur et n’envoie le message qu’après votre accord.

Décodez une transaction Ethereum brute ou une délégation EIP-7702, lisez ce qu’une signature de données typées céderait avant de la signer, vérifiez qui a signé un message Ethereum ou une demande de connexion, comparez les hashs d’une transaction Safe avec votre portefeuille matériel, recherchez des nonces ECDSA réutilisés, inspectez des PSBT et des xpub, et vérifiez des signatures Bitcoin (BIP-137/322), Solana et Nostr. Tout s’exécute dans votre navigateur ; les consultations de la blockchain ne sont adressées à un nœud RPC public que lorsque vous le demandez. Les phrases de récupération et les clés privées ne sont jamais acceptées.

La cryptographie post-quantique en pratique : signez avec ML-DSA et SLH-DSA, encapsulez avec ML-KEM et avec l’hybride X25519MLKEM768 que les navigateurs utilisent déjà, mesurez les performances de plus de 100 algorithmes liboqs, et inspectez des certificats PQ, ainsi que HPKE et age, le tout dans votre navigateur, sans rien envoyer.

Enregistrez une vraie clé d’accès, connectez-vous avec elle et identifiez l’authentificateur dont elle provient grâce au service de métadonnées FIDO, validez des jetons d’ID OpenID Connect et des réponses SAML, inspectez les attestations du portefeuille européen d’identité numérique (SD-JWT VC et mdoc), les preuves DPoP, COSE et CWT, ainsi que les requêtes HTTP signées par des bots et des agents d’IA. Les jetons et les clés sont vérifiés dans votre navigateur ; la recherche d’authentificateur ne demande à notre serveur que des métadonnées publiques.

Avant d’exécuter une version, contrôlez ce qu’elle est réellement. Vérifiez les bundles Sigstore et la provenance npm jusqu’au dépôt, au workflow et au commit qui les ont produits, lisez les attestations SLSA et in-toto, contrôlez les commits Git et les fichiers signés avec SSH par rapport à allowed_signers, et inspectez les signatures des exécutables Windows, des APK Android et des archives Java. Pour les documents et les médias aussi : vérifiez les signatures PDF (PAdES, LTV) et les e-mails signés (S/MIME) sans rien envoyer, décodez les horodatages RFC 3161, lisez les Content Credentials (C2PA) des images et des vidéos, et prouvez qu’une clé a été générée sur une YubiKey. Les fichiers et les clés restent dans votre navigateur ; le vérificateur npm interroge le registre public sur le paquet que vous indiquez, et la seconde vérification Sigstore, facultative, n’envoie à notre serveur que le bundle et le condensat du fichier.

Collez une clé, une signature ou un message avec armure ASCII, ou ouvrez un fichier .gpg, .sig ou .asc, et affichez chaque paquet : sous-clés, ID utilisateur et autosignatures, expiration et révocation, algorithmes, y compris les clés v6 de la RFC 9580 et les nouveaux identifiants des algorithmes post-quantiques. Avec la clé publique du signataire, vérifiez les signatures détachées, en texte clair et intégrées, comme gpg --verify, sans installer GnuPG. Tout s’exécute dans votre navigateur, et les clés privées sont refusées sans être lues.