chkcert_V1R1M1.py

Résumé exécutifExecutive Summary

Contexte & enjeuxContext & Challenges

Le problème des cycles courts des Autorités de CertificationThe problem of short CA certificate cycles

L'hétérogénéité des formats : le défi des grandes infrastructuresFormat heterogeneity: the challenge of large infrastructures

Une infrastructure financière ou industrielle typique mêle :

Chaque format nécessite un outil différent. chkcert unifie l'analyse de tous ces formats sous une interface CLI commune et une sortie JSON homogène.

Incidents réels — le coût des certificats expirésReal incidents — the cost of expired certificates

Les expirations de certificats ne sont pas anodines. Voici des incidents documentés qui illustrent l'enjeu :

Métriques clésKey Metrics

Plateformes ciblesTarget platforms — Unix & Windows

chkcert est conçu pour fonctionner de manière identique sur toutes les plateformes d'infrastructure rencontrées en entreprise. Le binaire Nuitka onefile supprime toute dépendance à Python sur le serveur cible.

Gestion des outils externes par OSExternal tools management by OS

ArchitectureArchitecture générale

Le script est mono-fichier et se décompose en 12 couches logiques :

__main__
  ├─ init couleurs + quiet mode
  ├─ argparse → args
  ├─ _ctx.reset_all()
  ├─ résolution de password (_resolve_password)
  ├─ construction de files_to_process
  │    ├─ --remote  → _run_remote_analysis()   [SFTP]
  │    ├─ --dir     → rglob + filtre extensions
  │    └─ --file    → glob ou chemin direct
  └─ for file in files_to_process:
       ├─ process_one_file()
       │    └─ detect_file_type() → _dispatch_file()
       │         ├─ process_pem()           .cer .pem .crt .arm .der
       │         ├─ process_p7b()           .p7b
       │         ├─ process_kdb()           .kdb  [runmqakm/gsk]
       │         ├─ process_java_keystore() .p12 .pfx .jks .jck .jceks
       │         ├─ process_cacerts()       cacerts JKS
       │         └─ process_csr()           .csr
       ├─ show_chain_summary / show_chain_serial
       ├─ show_diagnostics_resume()
       ├─ show_remediation_report() [si --report + mono-fichier]
       └─ generate_json_output / generate_html_output [si --output]

Un outil — tous les formats de keystoreOne tool — all keystore formats

C'est la valeur ajoutée centrale de chkcert : une seule commande, quelle que soit la technologie du keystore. L'outil détecte automatiquement le format et appelle l'outil externe approprié ou utilise la librairie Python cryptography directement.

Fonctions principalesMain functions

Interface CLICLI interface

Sorties généréesGenerated outputs

Structure des répertoires de sortieOutput directory structure

<output_root>/               ← W/U_FLD_TARGET_ANA_CER ou répertoire script
  html/<YYYYMMDD>/<ext>/    ← rapports HTML par fichier
  html/<YYYYMMDD>/summary/  ← résumé multi-fichiers HTML
  json/<YYYYMMDD>/<ext>/    ← exports JSON par fichier
  json/<YYYYMMDD>/summary/  ← résumé multi-fichiers JSON

Avec --date 2038-12-31, le répertoire prend la date simulée (20381231/) et un badge rouge 📅 ref 2038-12-31 apparaît dans l'en-tête HTML. Le champ reference_date est présent dans tous les JSON.

JSON — schéma complet par fichierJSON — full schema per file

JSON Summary — résumé multi-fichiersJSON Summary — multi-file summary

Export JSON & intégration PKI maisonJSON export & in-house PKI integration

Pourquoi le JSON chkcert est adapté à l'intégration PKI maisonWhy chkcert JSON is suited for in-house PKI integration

Le schéma JSON est stable, versionné et exhaustif. Chaque certificat expose : label, subject/issuer, numéro de série, algorithme, taille de clé, dates, chaîne de confiance, statut et plan d'action. Le champ reference_date permet de rejouer les analyses avec n'importe quelle date future.

ArchitectureArchitecture d'intégration suggérée

Cron / Scheduler (quotidien)
  └─ chkcert --dir /path/to/keystores --quiet --output json
       └─ json/YYYYMMDD/summary/hostname_summary_*.json
            └─ Collecteur PKI central (Python / Node / Go)
                 ├─ Parsing JSON chkcert
                 ├─ Base de données inventaire (PostgreSQL / SQLite)
                 ├─ Alertes (Prometheus Alert / PagerDuty / Teams webhook)
                 ├─ Dashboard (Grafana / Kibana)
                 └─ Déclencheur renouvellement (Ansible / Terraform / script)

Exemples réels — fichiers jointsReal chkcert_V1R1M1_examples — attached files

Les fichiers JSON joints à ce rapport illustrent chkcert en action sur des certificats réels avec simulation temporelle.

Cas 1 — Certificats Sectigo avec date future 2038-Case 1 — Sectigo certificates with future date 2038-

💡 Ce cas illustre l'utilité critique de la vérification des CA intermédiaires — pas seulement des certificats leaf. Un Root valide ne suffit pas si l'intermédiaire est expiré (cas LinkedIn 2021 ci-dessus).

Cas 2 — Certificat WMQ IBM MQ, date future 2038-07Case 2 — IBM MQ WMQ certificate, future date 2038-07

Cas 3 — Formats DER et CSR (tests multiformat)Case 3 — DER and CSR formats (multiformat tests)

Vérifications cryptographiquesCryptographic checks

Classification des algorithmes de signatureSignature algorithm classification

Classification des tailles de clé RSARSA key size classification

Niveaux d'expirationExpiry levels

Mode RemoteRemote mode SSH/SFTP

ArchitectureArchitecture du mode remote (implémentée)

Principe : Python et cryptography ne sont pas requis sur le serveur distant. Seul SSH/SFTP est nécessaire.

Cycles de renouvellementRenewal cycles & anticipation

Face à la réduction des durées de validité imposée par les AC et les navigateurs, chkcert intègre plusieurs mécanismes d'anticipation :

Simulation temporelle (--date)Time simulation (--date)

L'option --date YYYY-MM-DD (ou +N / -N jours) permet de simuler l'état du parc de certificats à une date future. Exemples pratiques :

./chkcert --dir /opt/mq/ssl/ --date +90 --report  # Que sera expiré dans 90 jours ?
./chkcert --dir /opt/mq/ssl/ --date +365 --report # Plan de renouvellement annuel
./chkcert --dir /opt/mq/ssl/ --date 2027-01-01 --output html  # Audit au 1er janvier 2027

Génération des commandes de renouvellement (--cmd)Renewal command generation (--cmd)

Avec --report --cmd, chkcert génère les commandes exactes de renouvellement adaptées au format du keystore :

Impact des cycles 47 jours (CA/Browser Forum 2027)47-day cycles impact (CA/Browser Forum 2027)

ObservationsFindings & Recommandations V1R1M1

chkcert_V1R1M1_rapport_technique.html — JokerSoft © 2026
Version V1R1M1 · 5 500+ lignes · 260 KB · check-certificat.com