CRT : fichier .crt

Le CRT est l’extension la plus courante pour désigner un certificat numérique X.509, le document cryptographique qui associe une identité (un nom de domaine, une organisation) à une clé publique, signé par une autorité de certification pour établir la confiance.

Contrairement à ce que suggère son statut de format unique, l’extension .crt ne détermine pas l’encodage sous-jacent : le fichier peut être encodé en PEM (texte, avec les marqueurs “—–BEGIN CERTIFICATE—–”) ou en DER (binaire, structuré selon la norme ASN.1). En DER, le fichier commence généralement par l’octet 0x30 (marqueur de séquence ASN.1), souvent suivi de 0x82, mais ce motif est générique à toute structure ASN.1 (partagé avec les fichiers PFX, P12 ou toute autre donnée DER) et ne constitue donc pas une signature fiable spécifique au certificat.

Cette ambiguïté d’encodage sous une même extension est une source fréquente de confusion : un outil qui attend un CRT au format PEM échouera silencieusement ou avec un message d’erreur peu clair face à un CRT en réalité encodé en DER, et inversement.

Sur un serveur web (Apache, Nginx), le fichier CRT contient souvent plusieurs certificats PEM concaténés à la suite les uns des autres : celui du site puis, dans l’ordre, les certificats intermédiaires de l’autorité de certification : une chaîne de confiance complète qu’un navigateur doit pouvoir reconstituer sans certificat manquant pour valider la connexion HTTPS.

La commande openssl x509 -in fichier.crt -text -noout reste le réflexe le plus courant pour inspecter le contenu réel d’un CRT sans deviner son encodage à l’avance, OpenSSL détectant automatiquement s’il doit interpréter le fichier comme du PEM ou du DER avant d’en afficher les informations de façon lisible.