pki-toolbox

Une boîte à outils auto-hébergée, 100 % côté client pour les artefacts PKI : certificats X.509, CSR PKCS#10, chaînes, CRL, bundles PKCS#7 et PKCS#12, ASN.1 brut, conversion de format, empreintes et émission de certificats. Une alternative respectueuse de la vie privée et auto-hébergeable aux décodeurs de certificats en ligne.

Démo en ligne : https://pki-toolbox.youkyi.net (la démo est le même build statique que vous pouvez auto-héberger ci-dessous ; rien de ce que vous collez ne quitte votre navigateur).

Chaque octet est analysé à l'intérieur de votre navigateur avec @peculiar/x509 et pkijs. Rien n'est jamais téléversé, le backend ne sert que des fichiers statiques. Vous n'êtes pas obligé de nous croire sur parole : voir Confidentialité vérifiable ci-dessous.

Outils

Outil	Catégorie	Description
Décodeur de certificat	Décodage	Chaque champ d'un certificat X.509 : sujet, émetteur, validité, SANs, usage de clé, empreintes
Décodeur de CSR	Décodage	Sujet, clé publique, algorithme de signature et extensions demandées d'une requête PKCS#10
Décodeur de chaîne	Décodage	Découpe un bundle PEM concaténé en une chaîne ordonnée et vérifie chaque lien émetteur-vers-sujet
Décodeur de CRL	Décodage	Entrées révoquées, dates et motifs de révocation
Décodeur PKCS#7	Décodage	Chaque certificat porté par un bundle PKCS#7 / CMS
Décodeur PKCS#12	Décodage	Ouvre les fichiers .p12 / .pfx protégés par mot de passe
Empreintes	Inspection	SHA-1 / SHA-256 / SHA-512 du DER
Visionneuse ASN.1	Inspection	Arbre tag/longueur/valeur dépliable de tout artefact DER
Conversion de format	Conversion	PEM ↔ DER ↔ PKCS#7
Certificat auto-signé	Génération	Certificat auto-signé et paire de clés (RSA / EC / Ed25519) via WebCrypto
Signer depuis une CA	Génération	Émet un certificat depuis une CA existante : nouvelle paire de clés ou CSR, feuille ou intermédiaire, avec un fullchain prêt à l'emploi

Le catalogue vit dans un registre unique (src/lib/tools.ts) qui pilote la barre de navigation et la grille d'accueil.

Autour des outils eux-mêmes :

• Collez n'importe quoi sur la page d'accueil. L'artefact est reconnu par ses octets (label PEM ou en-tête DER, voir src/lib/pki/detect.ts) et s'ouvre dans l'outil qui le lit.
• Un artefact dans le mauvais outil le signale et propose le bon, en transférant son contenu. Le transfert se fait en mémoire, jamais via l'URL, il reste donc hors des fichiers d'historique, des logs de proxy et des synchronisations de favoris.
• « Même artefact dans » sous un résultat le transfère vers les autres outils qui le lisent, ainsi un seul collage répond à plusieurs questions.
• Une bande de verdict répond à la question pour laquelle l'outil existe avant toute ligne de détail, et les valeurs qui finissent citées dans un ticket se copient en un clic.
• Chaque outil accepte un artefact collé ou un fichier téléversé, et fournit un exemple d'entrée pour l'essayer sans en avoir un. / place le curseur dans le champ de saisie.

Confidentialité vérifiable

L'affirmation « il ne quitte jamais votre navigateur » est vérifiable depuis la page elle-même :

• Chaque zone de saisie porte un panneau Vérifier qui relit la directive connect-src de la page depuis la politique avec laquelle elle a été servie, compte les requêtes capables d'exfiltrer des données depuis votre collage, et exécute une tentative en direct que le navigateur refuse devant vous, en citant la directive qui l'a bloquée.
• Une clé privée collée est nommée et voilée : la zone indique ce qu'elle contient et qu'elle n'a pas quitté la page, avec Effacer et Afficher quand même. Rien n'est décodé, transmis ou stocké.
• Ouvrez l'onglet réseau de votre navigateur pendant le décodage d'un certificat : vous ne verrez pas une seule requête.

L'exécuter

Exécutez toujours un tag de release épinglé et immuable (vX.Y.Z), jamais latest : un tag mouvant ne peut être audité ni annulé. Pour la garantie la plus forte, épinglez le digest de l'image (...@sha256:...).

docker run -p 8080:8080 ghcr.io/youkyi/pki-toolbox:v2.2.0

Puis ouvrez http://localhost:8080.

Images publiques

Chaque release est publiée, sous le même tag immuable vX.Y.Z, sur :

Registre	Image
GitHub Container Registry	ghcr.io/youkyi/pki-toolbox
Docker Hub	youkyi/pki-toolbox

docker pull ghcr.io/youkyi/pki-toolbox:v2.2.0   # ou
docker pull youkyi/pki-toolbox:v2.2.0

Auto-hébergement avec Docker Compose

services:
  pki-toolbox:
    image: ghcr.io/youkyi/pki-toolbox:v2.2.0
    ports:
      - '8080:8080'
    restart: unless-stopped
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    read_only: true

docker compose up -d

Le dépôt fournit un docker-compose.yml entièrement durci (système de fichiers racine en lecture seule, capacités supprimées, limites de mémoire et de CPU) ; utilisez ce fichier directement plutôt que cet exemple minimal.

L'image est construite à partir de nginx:alpine-slim, pèse environ 25 Mo, écoute sur le port non privilégié 8080 et s'exécute en tant qu'utilisateur non-root.

Développement local

Nécessite Node 24 (la version avec laquelle l'image et la CI sont construites) et pnpm 11. La version exacte de pnpm est épinglée par le champ packageManager de package.json, donc corepack enable suffit pour l'obtenir.

pnpm install
pnpm dev          # serveur de dev sur http://localhost:5173
pnpm test         # tests unitaires, exécution unique (Vitest)
pnpm test:unit    # les mêmes tests, en mode watch
pnpm test:e2e     # tests de bout en bout (Playwright)
pnpm test:e2e:ui  # les mêmes, dans l'interface Playwright
pnpm check        # svelte-check / TypeScript
pnpm lint         # Prettier + ESLint
pnpm format       # réécrit les fichiers avec Prettier
pnpm build        # build statique dans ./build
pnpm preview      # sert ./build localement

Construire l'image Docker

docker build -t pki-toolbox .
docker run -p 8080:8080 pki-toolbox

Comment ça fonctionne