Partager via

certutil

Prudence

Certutil n’est pas recommandé d’être utilisé dans n’importe quel code de production et ne fournit aucune garantie de prise en charge de site en direct ou de compatibilité des applications. Il s’agit d’un outil utilisé par les développeurs et les administrateurs informatiques pour afficher les informations de contenu de certificat sur les appareils.

Certutil.exe est un programme de ligne de commande installé dans le cadre des services de certificats. Vous pouvez utiliser certutil.exe pour afficher les informations de configuration de l’autorité de certification, configurer les services de certificat et sauvegarder et restaurer des composants d’autorité de certification. Le programme vérifie également les certificats, les paires de clés et les chaînes de certificats.

Si certutil est exécuté sur une autorité de certification sans d’autres paramètres, elle affiche la configuration actuelle de l’autorité de certification. Si certutil est exécuté sur une autorité de non certification sans d’autres paramètres, la commande exécute par défaut la commande certutil -dump. Toutes les versions de certutil ne fournissent pas tous les paramètres et options décrits par ce document. Vous pouvez voir les choix que votre version de certutil fournit en exécutant certutil -? ou certutil <parameter> -?.

Pourboire

Pour afficher l’aide complète pour tous les verbes et options certutil, y compris celles masquées de l’argument -?, exécutez certutil -v -uSAGE. Le commutateur uSAGE respecte la casse.

Paramètres

-dépotoir

Vide les informations de configuration ou les fichiers.

certutil [options] [-dump]
certutil [options] [-dump] File

Options:

[-f] [-user] [-Silent] [-split] [-p Password] [-t Timeout]

-dumpPFX

Vide la structure PFX.

certutil [options] [-dumpPFX] File

Options:

[-f] [-Silent] [-split] [-p Password] [-csp Provider]

-Asn

Analyse et affiche le contenu d’un fichier à l’aide de la syntaxe ASN.1 (Abstract Syntax Notation). Les types de fichiers incluent . CER, . Fichiers au format DER et PKCS #7.

certutil [options] -asn File [type]
  • [type]: type de décodage numérique CRYPT_STRING_*

-decodehex

Décode un fichier encodé hexadécimal.

certutil [options] -decodehex InFile OutFile [type]
  • [type]: type de décodage numérique CRYPT_STRING_*

Options:

[-f]

-encodehex

Encode un fichier en hexadécimal.

certutil [options] -encodehex InFile OutFile [type]
  • [type]: type d’encodage numérique CRYPT_STRING_*

Options:

[-f] [-nocr] [-nocrlf] [-UnicodeText]

-décoder

Décode un fichier encodé en Base64.

certutil [options] -decode InFile OutFile

Options:

[-f]

-encoder

Encode un fichier en Base64.

certutil [options] -encode InFile OutFile

Options:

[-f] [-unicodetext]

-nier

Refuse une demande en attente.

certutil [options] -deny RequestId

Options:

[-config Machine\CAName]

-Resoumettre

Resubmit une demande en attente.

certutil [options] -resubmit RequestId

Options:

[-config Machine\CAName]

-setattributes

Définit des attributs pour une demande de certificat en attente.

certutil [options] -setattributes RequestId AttributeString

Où:

  • RequestId correspond à l’ID de requête numérique de la demande en attente.
  • AttributeString correspond aux paires nom et valeur de l’attribut de requête.

Options:

[-config Machine\CAName]

Remarques

  • Les noms et les valeurs doivent être séparés par deux-points, tandis que plusieurs paires noms et valeurs doivent être séparées par de nouvelles lignes. Par exemple : CertificateTemplate:User\nEMail:User@Domain.com où la séquence de \n est convertie en séparateur de saut de ligne.

-setextension

Définissez une extension pour une demande de certificat en attente.

certutil [options] -setextension RequestId ExtensionName Flags {Long | Date | String | @InFile}

Où:

  • requestID correspond à l’ID de requête numérique de la demande en attente.
  • ExtensionName est la chaîne ObjectId de l’extension.
  • indicateurs définit la priorité de l’extension. 0 est recommandé, tandis que 1 définit l’extension sur critique, 2 désactive l’extension et 3 effectue les deux.

Options:

[-config Machine\CAName]

Remarques

  • Si le dernier paramètre est numérique, il est pris comme long.
  • Si le dernier paramètre peut être analysé en tant que date, il est pris comme Date.
  • Si le dernier paramètre commence par \@, le reste du jeton est pris comme nom de fichier avec des données binaires ou un vidage hexadécimal de texte ascii.
  • Si le dernier paramètre est autre chose, il est pris en tant que chaîne.

-révoquer

Révoque un certificat.

certutil [options] -revoke SerialNumber [Reason]

Où:

  • SerialNumber est une liste séparée par des virgules des numéros de série de certificats à révoquer.
  • Motif est la représentation numérique ou symbolique de la raison de révocation, notamment :
    • 0. CRL_REASON_UNSPECIFIED - Non spécifié (valeur par défaut)
    • 1. CRL_REASON_KEY_COMPROMISE - Compromission de clé
    • 2. CRL_REASON_CA_COMPROMISE - Compromission de l’autorité de certification
    • 3. CRL_REASON_AFFILIATION_CHANGED - Affiliation modifiée
    • 4. CRL_REASON_SUPERSEDED - Remplacé
    • 5. CRL_REASON_CESSATION_OF_OPERATION - Arrêt de l’opération
    • 6. CRL_REASON_CERTIFICATE_HOLD - Conservation du certificat
    • 8. CRL_REASON_REMOVE_FROM_CRL - Supprimer de la liste de révocation de certificats
    • 9 : CRL_REASON_PRIVILEGE_WITHDRAWN - Privilège retiré
    • 10 : CRL_REASON_AA_COMPROMISE - CompromisSion AA
    • -1. Unrevoke - Unrevokes

Options:

[-config Machine\CAName]

-isvalid

Affiche la destruction du certificat actuel.

certutil [options] -isvalid SerialNumber | CertHash

Options:

[-config Machine\CAName]

-getconfig

Obtient la chaîne de configuration par défaut.

certutil [options] -getconfig

Options:

[-idispatch] [-config Machine\CAName]

-getconfig2

Obtient la chaîne de configuration par défaut via ICertGetConfig.

certutil [options] -getconfig2

Options:

[-idispatch]

-getconfig3

Obtient la configuration via ICertConfig.

certutil [options] -getconfig3

Options:

[-idispatch]

-Ping

Tente de contacter l’interface de demande des services de certificats Active Directory.

certutil [options] -ping [MaxSecondsToWait | CAMachineList]

Où:

  • CAMachineList est une liste séparée par des virgules des noms d’ordinateurs d’autorité de certification. Pour un seul ordinateur, utilisez une virgule de fin. Cette option affiche également le coût du site pour chaque ordinateur d’autorité de certification.

Options:

[-config Machine\CAName] [-Anonymous] [-Kerberos] [-ClientCertificate ClientCertId] [-UserName UserName] [-p Password]

-pingadmin

Tente de contacter l’interface d’administration des services de certificats Active Directory.

certutil [options] -pingadmin

Options:

[-config Machine\CAName]

-CAInfo

Affiche des informations sur l’autorité de certification.

certutil [options] -CAInfo [InfoName [Index | ErrorCode]]

Où:

  • InfoName indique la propriété d’autorité de certification à afficher, en fonction de la syntaxe d’argument infoname suivante :
    • * - Affiche toutes les propriétés
    • publicités - Serveur avancé
    • aia [Index] - URL AIA
    • cdp [Index] - URL CDP
    • certificat [Index] - Certificat d’autorité de certification
    • chaîne de certificats [Index] - Chaîne de certificats d’autorité de certification
    • de nombre de certificats - Nombre de certificats d’autorité de certification
    • certcrlchain [Index] - Chaîne de certificats d’autorité de certification avec des listes de révocation de certificats
    • certstate [Index] - Certificat d’autorité de certification
    • certstatuscode [Index] - État de vérification du certificat d’autorité de certification
    • certversion [Index] - Version du certificat d’autorité de certification
    • liste de révocation de certificats [Index] - Liste de révocation de certificats de base
    • crlstate [Index] - Liste de révocation de certificats
    • crlstatus [Index] - État de publication de la liste de révocation de certificats
    • cross- [Index] - Certificat croisé vers l’arrière
    • cross+ [Index] - Transférer le certificat croisé
    • crossstate- [Index] - Certificat croisé vers l’arrière
    • crossstate+ [Index] - Transférer le certificat croisé
    • deltacrl [Index] - Liste de révocation de certificats delta
    • deltacrlstatus [Index] - État de publication de la liste de révocation de certificats Delta
    • dns - Nom DNS
    • nom dsname - Nom court de l’autorité de certification nettoyée (nom DS)
    • error1 ErrorCode - Texte du message d’erreur
    • error2 ErrorCode - Texte du message d’erreur et code d’erreur
    • exit [Index] - Description du module de sortie
    • exitcount - Nombre de modules de sortie
    • de fichier - Version de fichier
    • informations - Informations de l’autorité de certification
    • kra [Index] - KRA cert
    • kracount - Nombre de certificats KRA
    • krastate [Index] - KRA cert
    • kraused - Nombre de certificats KRA utilisés
    • nom de paramètres régionaux - Nom des paramètres régionaux de l’autorité de certification
    • nom - Nom de l’autorité de certification
    • ocsp [Index] - URL OCSP
    • parent - Autorité de certification parente
    • de stratégie - Description du module de stratégie
    • produit - Version du produit
    • propidmax - Maximum CA PropId
    • de rôle - Séparation des rôles
    • nom désinfecté - Nom de l’autorité de certification désinfectée
    • sharedfolder - Dossier partagé
    • subjecttemplateoids - OID de modèle d’objet
    • modèles - Modèles
    • type - Type d’autorité de certification
    • xchg [Index] - Certificat d’échange d’autorité de certification
    • xchgchain [Index] - Chaîne de certificats d’échange d’autorité de certification
    • xchgcount - Nombre de certificats exchange de l’autorité de certification
    • xchgcrlchain [Index] - Chaîne de certificats d’échange d’autorité de certification avec des listes de révocation de certificats
  • index est l’index de propriété de base zéro facultatif.
  • code d’erreur est le code d’erreur numérique.

Options:

[-f] [-split] [-config Machine\CAName]

-CAPropInfo

Affiche les informations de type de propriété de l’autorité de certification.

certutil [options] -CAInfo [InfoName [Index | ErrorCode]]

Options:

[-idispatch] [-v1] [-admin] [-config Machine\CAName]

-ca.cert

Récupère le certificat de l’autorité de certification.

certutil [options] -ca.cert OutCACertFile [Index]

Où:

  • OutCACertFile est le fichier de sortie.
  • index est l’index de renouvellement du certificat d’autorité de certification (par défaut, le plus récent).

Options:

[-f] [-split] [-config Machine\CAName]

-ca.chain

Récupère la chaîne de certificats de l’autorité de certification.

certutil [options] -ca.chain OutCACertChainFile [Index]

Où:

  • OutCACertChainFile est le fichier de sortie.
  • index est l’index de renouvellement du certificat d’autorité de certification (par défaut, le plus récent).

Options:

[-f] [-split] [-config Machine\CAName]

-GetCRL

Obtient une liste de révocation de certificats (CRL).

certutil [options] -GetCRL OutFile [Index] [delta]

Où:

  • index est l’index de liste de révocation de certificats ou l’index de clé (par défaut, la liste de révocation de certificats pour la clé la plus récente).
  • delta est la liste de révocation de certificats delta (la liste de révocation de certificats de base est par défaut).

Options:

[-f] [-split] [-config Machine\CAName]

-LCR

Publie de nouvelles listes de révocation de certificats (CRL) ou delta.

certutil [options] -CRL [dd:hh | republish] [delta]

Où:

  • dd :hh est la nouvelle période de validité de la liste de révocation de certificats en jours et en heures.
  • republier republiez les listes de révocation de certificats les plus récentes.
  • delta publie uniquement les listes de révocation de certificats delta (la valeur par défaut est des listes de contrôle de base et delta).

Options:

[-split] [-config Machine\CAName]

-arrêt

Arrête les services de certificats Active Directory.

certutil [options] -shutdown

Options:

[-config Machine\CAName]

-installCert

Installe un certificat d’autorité de certification.

certutil [options] -installCert [CACertFile]

Options:

[-f] [-silent] [-config Machine\CAName]

-renewCert

Renouvelle un certificat d’autorité de certification.

certutil [options] -renewCert [ReuseKeys] [Machine\ParentCAName]

Options:

[-f] [-silent] [-config Machine\CAName]
  • Utilisez -f pour ignorer une demande de renouvellement en attente et pour générer une nouvelle demande.

-schéma

Vide le schéma du certificat.

certutil [options] -schema [Ext | Attrib | CRL]

Où:

  • La commande est par défaut dans la table Demande et Certificat.
  • ext est la table d’extension.
  • 'attribut est la table d’attributs.
  • liste de révocation de certificats est la table de la liste de révocation de certificats.

Options:

[-split] [-config Machine\CAName]

-Vue

Vide la vue du certificat.

certutil [options] -view [Queue | Log | LogFail | Revoked | Ext | Attrib | CRL] [csv]

Où:

  • File d’attente vide une file d’attente de requêtes spécifique.
  • Journal vide les certificats émis ou révoqués, ainsi que les demandes ayant échoué.
  • LogFail vide les requêtes ayant échoué.
  • révoqué vide les certificats révoqués.
  • Ext vide la table d’extension.
  • Attrib vide la table d’attributs.
  • liste de révocation de certificats vide la table de liste de révocation de certificats.
  • csv fournit la sortie à l’aide de valeurs séparées par des virgules.

Options:

[-silent] [-split] [-config Machine\CAName] [-restrict RestrictionList] [-out ColumnList]

Remarques

  • Pour afficher la colonne StatusCode pour toutes les entrées, tapez -out StatusCode
  • Pour afficher toutes les colonnes de la dernière entrée, tapez : -restrict RequestId==$
  • Pour afficher le RequestId et de disposition pour trois requêtes, tapez :
  • Pour afficher les ID de ligne ID de ligne et numéros de liste de révocation de certificats pour toutes les listes de révocation de certificats de base, tapez : -restrict crlminbase=0 -out crlrowID,crlnumber crl
  • Pour afficher le numéro de liste de révocation de certificats de base 3, tapez : -v -restrict crlminbase=0,crlnumber=3 -out crlrawcrl crl
  • Pour afficher l’intégralité de la table de liste de révocation de certificats, tapez : CRL
  • Utilisez Date[+|-dd:hh] pour les restrictions de date.
  • Utilisez now+dd:hh pour une date relative à l’heure actuelle.
  • Les modèles contiennent des utilisations de clés étendues (EKU), qui sont des identificateurs d’objet (OID) qui décrivent la façon dont le certificat est utilisé. Les certificats n’incluent pas toujours de noms communs de modèle ou de noms d’affichage, mais ils contiennent toujours les EKU de modèle. Vous pouvez extraire les EKUs pour un modèle de certificat spécifique à partir d’Active Directory, puis restreindre les vues en fonction de cette extension.

-Db

Vide la base de données brute.

certutil [options] -db

Options:

[-config Machine\CAName] [-restrict RestrictionList] [-out ColumnList]

-deleterow

Supprime une ligne de la base de données du serveur.

certutil [options] -deleterow RowId | Date [Request | Cert | Ext | Attrib | CRL]

Où:

  • Demande supprime les demandes ayant échoué et en attente, en fonction de la date de soumission.
  • certificat supprime les certificats expirés et révoqués, en fonction de la date d’expiration.
  • Ext supprime la table d’extension.
  • Attrib supprime la table d’attributs.
  • liste de révocation de certificats supprime la table de révocation de certificats.

Options:

[-f] [-config Machine\CAName]

Exemples

  • Pour supprimer les demandes ayant échoué et en attente envoyées le 22 janvier 2001, tapez : 1/22/2001 request
  • Pour supprimer tous les certificats qui ont expiré le 22 janvier 2001, tapez : 1/22/2001 cert
  • Pour supprimer la ligne de certificat, les attributs et les extensions pour RequestID 37, tapez : 37
  • Pour supprimer les listes de révocation de certificats ayant expiré le 22 janvier 2001, tapez : 1/22/2001 crl

Note

Date attend le format mm/dd/yyyy plutôt que dd/mm/yyyy, par exemple 1/22/2001 plutôt que 22/1/2001 pour le 22 janvier 2001. Si votre serveur n’est pas configuré avec les paramètres régionaux américains, l’utilisation de l’argument Date peut produire des résultats inattendus.

-sauvegarde

Sauvegarde les services de certificats Active Directory.

certutil [options] -backup BackupDirectory [Incremental] [KeepLog]

Où:

  • BackupDirectory est le répertoire pour stocker les données sauvegardées.
  • incrémentiel effectue une sauvegarde incrémentielle uniquement (la sauvegarde complète est par défaut).
  • KeepLog conserve les fichiers journaux de base de données (la valeur par défaut consiste à tronquer les fichiers journaux).

Options:

[-f] [-config Machine\CAName] [-p Password] [-ProtectTo SAMNameAndSIDList]

-backupDB

Sauvegarde la base de données des services de certificats Active Directory.

certutil [options] -backupdb BackupDirectory [Incremental] [KeepLog]

Où:

  • BackupDirectory est le répertoire pour stocker les fichiers de base de données sauvegardés.
  • incrémentiel effectue une sauvegarde incrémentielle uniquement (la sauvegarde complète est par défaut).
  • KeepLog conserve les fichiers journaux de base de données (la valeur par défaut consiste à tronquer les fichiers journaux).

Options:

[-f] [-config Machine\CAName]

-backupkey

Sauvegarde le certificat des services de certificats Active Directory et la clé privée.

certutil [options] -backupkey BackupDirectory

Où:

  • BackupDirectory est le répertoire pour stocker le fichier PFX sauvegardé.

Options:

[-f] [-config Machine\CAName] [-p password] [-ProtectTo SAMNameAndSIDList] [-t Timeout]

-restaurer

Restaure les services de certificats Active Directory.

certutil [options] -restore BackupDirectory

Où:

  • BackupDirectory est le répertoire contenant les données à restaurer.

Options:

[-f] [-config Machine\CAName] [-p password]

-restauré

Restaure la base de données des services de certificats Active Directory.

certutil [options] -restoredb BackupDirectory

Où:

  • BackupDirectory est le répertoire contenant les fichiers de base de données à restaurer.

Options:

[-f] [-config Machine\CAName]

-restorekey

Restaure le certificat des services de certificats Active Directory et la clé privée.

certutil [options] -restorekey BackupDirectory | PFXFile

Où:

  • BackupDirectory est le répertoire contenant le fichier PFX à restaurer.
  • PFXFile est le fichier PFX à restaurer.

Options:

[-f] [-config Machine\CAName] [-p password]

-exportPFX

Exporte les certificats et les clés privées. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -exportPFX [CertificateStoreName] CertId PFXFile [Modifiers]

Où:

  • CertificateStoreName est le nom du magasin de certificats.
  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats.
  • PFXFile est le fichier PFX à exporter.
  • modificateurs sont la liste séparée par des virgules, qui peut inclure une ou plusieurs des options suivantes :
    • CryptoAlgorithm= spécifie l’algorithme de chiffrement à utiliser pour chiffrer le fichier PFX, tel que TripleDES-Sha1 ou Aes256-Sha256.
    • EncryptCert : chiffre la clé privée associée au certificat avec un mot de passe.
    • ExportParameters -Exports les paramètres de clé privée en plus du certificat et de la clé privée.
    • ExtendedProperties : inclut toutes les propriétés étendues associées au certificat dans le fichier de sortie.
    • NoEncryptCert : exporte la clé privée sans le chiffrer.
    • NoChain : n’importe pas la chaîne de certificats.
    • NoRoot : n’importe pas le certificat racine.

-importPFX

Importe les certificats et les clés privées. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -importPFX [CertificateStoreName] PFXFile [Modifiers]

Où:

  • CertificateStoreName est le nom du magasin de certificats.
  • PFXFile est le fichier PFX à importer.
  • modificateurs sont la liste séparée par des virgules, qui peut inclure une ou plusieurs des options suivantes :
    • AT_KEYEXCHANGE : modifie la spécification de clé en échange de clés.
    • AT_SIGNATURE : modifie la spécification de clé en signature.
    • ExportEncrypted : exporte la clé privée associée au certificat avec le chiffrement de mot de passe.
    • FriendlyName= : spécifie un nom convivial pour le certificat importé.
    • KeyDescription= : spécifie une description de la clé privée associée au certificat importé.
    • KeyFriendlyName= : spécifie un nom convivial pour la clé privée associée au certificat importé.
    • NoCert : n’importe pas le certificat.
    • NoChain : n’importe pas la chaîne de certificats.
    • NoExport : rend la clé privée non exportable.
    • NoProtect : ne protège pas les clés par mot de passe à l’aide d’un mot de passe.
    • NoRoot : n’importe pas le certificat racine.
    • Pkcs8 : utilise le format PKCS8 pour la clé privée dans le fichier PFX.
    • Protéger : protège les clés à l’aide d’un mot de passe.
    • ProtectHigh : spécifie qu’un mot de passe haute sécurité doit être associé à la clé privée.
    • VSM : stocke la clé privée associée au certificat importé dans le conteneur VSC (Virtual Smart Card).

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-Silent] [-p Password] [-csp Provider]

Remarques

  • La valeur par défaut est le magasin d’ordinateurs personnels.

-dynamicfilelist

Affiche une liste de fichiers dynamiques.

certutil [options] -dynamicfilelist

Options:

[-config Machine\CAName]

-databaselocations

Affiche les emplacements de base de données.

certutil [options] -databaselocations

Options:

[-config Machine\CAName]

-hashfile

Génère et affiche un hachage de chiffrement sur un fichier.

certutil [options] -hashfile InFile [HashAlgorithm]

-boutique

Vide le magasin de certificats.

certutil [options] -store [CertificateStoreName [CertId [OutputFile]]]

Où:

  • CertificateStoreName est le nom du magasin de certificats. Par exemple:

    • My, CA (default), Root,
    • ldap:///CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?one?objectClass=certificationAuthority (View Root Certificates)
    • ldap:///CN=CAName,CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Modify Root Certificates)
    • ldap:///CN=CAName,CN=MachineName,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint (View CRLs)
    • ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Enterprise CA Certificates)
    • ldap: (AD computer object certificates)
    • -user ldap: (AD user object certificates)

  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats. Cet ID peut être un :

    • Matricule
    • Certificat SHA-1
    • Liste de révocation de certificats, hachage de clé publique ou CTL
    • Index de certificat numérique (0, 1, et ainsi de suite)
    • Index de liste de révocation de certificats numériques (.0, .1, et ainsi de suite)
    • Index de durée de vie numérique (.. 0, .. 1, et ainsi de suite)
    • Clé publique
    • Signature ou extension ObjectId
    • Nom commun de l’objet du certificat
    • Adresse de messagerie
    • NOM UPN ou DNS
    • Nom du conteneur de clés ou nom csp
    • Nom du modèle ou ObjectId
    • Référence EKU ou ObjectId des stratégies d’application
    • Nom commun de l’émetteur de liste de révocation de certificats.

Un grand nombre de ces identificateurs peuvent entraîner plusieurs correspondances.

  • outputFile est le fichier utilisé pour enregistrer les certificats correspondants.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-Silent] [-split] [-dc DCName]
  • L’option -user accède à un magasin d’utilisateurs au lieu d’un magasin d’ordinateurs.
  • L’option -enterprise accède à un magasin d’entreprise de machines.
  • L’option -service accède à un magasin de services de machine.
  • L’option -grouppolicy accède à un magasin de stratégies de groupe d’ordinateurs.

Par exemple:

  • -enterprise NTAuth
  • -enterprise Root 37
  • -user My 26e0aaaf000000000004
  • CA .11

Note

Les problèmes de performances sont observés lors de l’utilisation du paramètre -store en fonction de ces deux aspects :

  1. Lorsque le nombre de certificats dans le magasin dépasse 10.
  2. Lorsqu’un CertId est spécifié, il est utilisé pour faire correspondre tous les types répertoriés pour chaque certificat. Par exemple, si un numéro de série est fourni, il tente également de correspondre à tous les autres types répertoriés.

Si vous êtes préoccupé par les problèmes de performances, les commandes PowerShell sont recommandées lorsqu’elles correspondent uniquement au type de certificat spécifié.

-enumstore

Énumère les magasins de certificats.

certutil [options] -enumstore [\\MachineName]

Où:

  • MachineName est le nom de l’ordinateur distant.

Options:

[-enterprise] [-user] [-grouppolicy]

-addstore

Ajoute un certificat au magasin. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -addstore CertificateStoreName InFile

Où:

  • CertificateStoreName est le nom du magasin de certificats.
  • inFile est le fichier de certificat ou de liste de révocation de certificats que vous souhaitez ajouter au magasin.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-dc DCName]

-delstore

Supprime un certificat du magasin. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -delstore CertificateStoreName certID

Où:

  • CertificateStoreName est le nom du magasin de certificats.
  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-Silent] [-dc DCName]

-verifystore

Vérifie un certificat dans le magasin. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -verifystore CertificateStoreName [CertId]

Où:

  • CertificateStoreName est le nom du magasin de certificats.
  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats.

Options:

[-Enterprise] [-user] [-GroupPolicy] [-Silent] [-split] [-dc DCName] [-t Timeout]

-repairstore

Répare une association de clés ou met à jour les propriétés de certificat ou le descripteur de sécurité de clé. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -repairstore CertificateStoreName CertIdList [PropertyInfFile | SDDLSecurityDescriptor]

Où:

  • CertificateStoreName est le nom du magasin de certificats.

  • CertIdList est la liste séparée par des virgules des jetons de correspondance de certificat ou de liste de révocation de certificats. Pour plus d’informations, consultez la description -store CertId dans cet article.

  • PropertyInfFile est le fichier INF contenant des propriétés externes, notamment :

    [Properties]
    19 = Empty ; Add archived property, OR:
    19 =       ; Remove archived property

    11 = {text}Friendly Name ; Add friendly name property

    127 = {hex} ; Add custom hexadecimal property
        _continue_ = 00 01 02 03 04 05 06 07 08 09 0a 0b 0c 0d 0e 0f
        _continue_ = 10 11 12 13 14 15 16 17 18 19 1a 1b 1c 1d 1e 1f

    2 = {text} ; Add Key Provider Information property
      _continue_ = Container=Container Name&
      _continue_ = Provider=Microsoft Strong Cryptographic Provider&
      _continue_ = ProviderType=1&
      _continue_ = Flags=0&
      _continue_ = KeySpec=2

    9 = {text} ; Add Enhanced Key Usage property
      _continue_ = 1.3.6.1.5.5.7.3.2,
      _continue_ = 1.3.6.1.5.5.7.3.1,

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-Silent] [-split] [-csp Provider]

-viewstore

Vide le magasin de certificats. Pour plus d’informations, consultez le paramètre -store dans cet article.

certutil [options] -viewstore [CertificateStoreName [CertId [OutputFile]]]

Où:

  • CertificateStoreName est le nom du magasin de certificats. Par exemple:

    • My, CA (default), Root,
    • ldap:///CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?one?objectClass=certificationAuthority (View Root Certificates)
    • ldap:///CN=CAName,CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Modify Root Certificates)
    • ldap:///CN=CAName,CN=MachineName,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint (View CRLs)
    • ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Enterprise CA Certificates)
    • ldap: (AD computer object certificates)
    • -user ldap: (AD user object certificates)

  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats. Il peut s’agir d’un :

    • Matricule
    • Certificat SHA-1
    • Liste de révocation de certificats, durée de vie ou hachage de clé publique
    • Index de certificat numérique (0, 1, et ainsi de suite)
    • Index de liste de révocation de certificats numériques (.0, .1, et ainsi de suite)
    • Index de durée de vie numérique (.. 0, .. 1, et ainsi de suite)
    • Clé publique
    • Signature ou extension ObjectId
    • Nom commun de l’objet du certificat
    • Adresse de messagerie
    • NOM UPN ou DNS
    • Nom du conteneur de clés ou nom csp
    • Nom du modèle ou ObjectId
    • Référence EKU ou ObjectId des stratégies d’application
    • Nom commun de l’émetteur de liste de révocation de certificats.

La plupart de ces correspondances peuvent entraîner plusieurs correspondances.

  • outputFile est le fichier utilisé pour enregistrer les certificats correspondants.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-dc DCName]
  • L’option -user accède à un magasin d’utilisateurs au lieu d’un magasin d’ordinateurs.
  • L’option -enterprise accède à un magasin d’entreprise de machines.
  • L’option -service accède à un magasin de services de machine.
  • L’option -grouppolicy accède à un magasin de stratégies de groupe d’ordinateurs.

Par exemple:

  • -enterprise NTAuth
  • -enterprise Root 37
  • -user My 26e0aaaf000000000004
  • CA .11

-viewdelstore

Supprime un certificat du magasin.

certutil [options] -viewdelstore [CertificateStoreName [CertId [OutputFile]]]

Où:

  • CertificateStoreName est le nom du magasin de certificats. Par exemple:

    • My, CA (default), Root,
    • ldap:///CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?one?objectClass=certificationAuthority (View Root Certificates)
    • ldap:///CN=CAName,CN=Certification Authorities,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Modify Root Certificates)
    • ldap:///CN=CAName,CN=MachineName,CN=CDP,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?certificateRevocationList?base?objectClass=cRLDistributionPoint (View CRLs)
    • ldap:///CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=cpandl,DC=com?cACertificate?base?objectClass=certificationAuthority (Enterprise CA Certificates)
    • ldap: (AD computer object certificates)
    • -user ldap: (AD user object certificates)

  • CertId est le jeton de correspondance de certificat ou de liste de révocation de certificats. Il peut s’agir d’un :

    • Matricule
    • Certificat SHA-1
    • Liste de révocation de certificats, durée de vie ou hachage de clé publique
    • Index de certificat numérique (0, 1, et ainsi de suite)
    • Index de liste de révocation de certificats numériques (.0, .1, et ainsi de suite)
    • Index de durée de vie numérique (.. 0, .. 1, et ainsi de suite)
    • Clé publique
    • Signature ou extension ObjectId
    • Nom commun de l’objet du certificat
    • Adresse de messagerie
    • NOM UPN ou DNS
    • Nom du conteneur de clés ou nom csp
    • Nom du modèle ou ObjectId
    • Référence EKU ou ObjectId des stratégies d’application
    • Nom commun de l’émetteur de liste de révocation de certificats.

La plupart de ces correspondances peuvent entraîner plusieurs correspondances.

  • outputFile est le fichier utilisé pour enregistrer les certificats correspondants.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-dc DCName]
  • L’option -user accède à un magasin d’utilisateurs au lieu d’un magasin d’ordinateurs.
  • L’option -enterprise accède à un magasin d’entreprise de machines.
  • L’option -service accède à un magasin de services de machine.
  • L’option -grouppolicy accède à un magasin de stratégies de groupe d’ordinateurs.

Par exemple:

  • -enterprise NTAuth
  • -enterprise Root 37
  • -user My 26e0aaaf000000000004
  • CA .11

-UI

Appelle l’interface certutil.

certutil [options] -UI File [import]

-TPMInfo

Affiche les informations du module de plateforme approuvée.

certutil [options] -TPMInfo

Options:

[-f] [-Silent] [-split]

-attester

Spécifie que le fichier de demande de certificat doit être attesté.

certutil [options] -attest RequestFile

Options:

[-user] [-Silent] [-split]

-getcert

Sélectionne un certificat dans une interface utilisateur de sélection.

certutil [options] [ObjectId | ERA | KRA [CommonName]]

Options:

[-Silent] [-split]

-Ds

Affiche les noms uniques (DS) du service d’annuaire (DS).

certutil [options] -ds [CommonName]

Options:

[-f] [-user] [-split] [-dc DCName]

-dsDel

Supprime les noms de domaine DS.

certutil [options] -dsDel [CommonName]

Options:

[-user] [-split] [-dc DCName]

-dsPublish

Publie un certificat ou une liste de révocation de certificats (CRL) dans Active Directory.

certutil [options] -dspublish CertFile [NTAuthCA | RootCA | SubCA | CrossCA | KRA | User | Machine]
certutil [options] -dspublish CRLfile [DSCDPContainer [DSCDPCN]]

Où:

  • CertFile est le nom du fichier de certificat à publier.
  • NTAuthCA publie le certificat dans le magasin DS Enterprise.
  • RootCA publie le certificat dans le magasin racine approuvé DS.
  • SubCA publie le certificat d’autorité de certification sur l’objet d’autorité de certification DS.
  • CrossCA publie le certificat croisé sur l’objet d’autorité de certification DS.
  • KRA publie le certificat sur l’objet DS Key Recovery Agent.
  • 'utilisateur publie le certificat sur l’objet User DS.
  • Machine publie le certificat sur l’objet Machine DS.
  • fichier CRLfile est le nom du fichier de liste de révocation de certificats à publier.
  • DSCDPContainer est le cn de conteneur DS CDP, généralement le nom de la machine d’autorité de certification.
  • DSCDPCN est le cn d’objet CDP DS basé sur le nom court de l’autorité de certification désinfectée et l’index de clé.

Options:

[-f] [-user] [-dc DCName]
  • Utilisez -f pour créer un objet DS.

-dsCert

Affiche les certificats DS.

certutil [options] -dsCert [FullDSDN] | [CertId [OutFile]]

Options:

[-Enterprise] [-user] [-config Machine\CAName] [-dc DCName]

-dsCRL

Affiche les listes de révocation de certificats DS.

certutil [options] -dsCRL [FullDSDN] | [CRLIndex [OutFile]]

Options:

[-idispatch] [-Enterprise] [-user] [-config Machine\CAName] [-dc DCName]

-dsDeltaCRL

Affiche les listes de révocation de certificats delta DS.

certutil [options] -dsDeltaCRL [FullDSDN] | [CRLIndex [OutFile]]

Options:

[-Enterprise] [-user] [-config Machine\CAName] [-dc DCName]

-dsTemplate

Affiche les attributs de modèle DS.

certutil [options] -dsTemplate [Template]

Options:

[Silent] [-dc DCName]

-dsAddTemplate

Ajoute des modèles DS.

certutil [options] -dsAddTemplate TemplateInfFile

Options:

[-dc DCName]

-ADTemplate

Affiche les modèles Active Directory.

certutil [options] -ADTemplate [Template]

Options:

[-f] [-user] [-ut] [-mt] [-dc DCName]

-Modèle

Affiche les modèles de stratégie d’inscription de certificat.

Options:

certutil [options] -Template [Template]

Options:

[-f] [-user] [-Silent] [-PolicyServer URLOrId] [-Anonymous] [-Kerberos] [-ClientCertificate ClientCertId] [-UserName UserName] [-p Password]

-TemplateCAs

Affiche les autorités de certification pour un modèle de certificat.

certutil [options] -TemplateCAs Template

Options:

[-f] [-user] [-dc DCName]

-CATemplates

Affiche des modèles pour l’autorité de certification.

certutil [options] -CATemplates [Template]

Options:

[-f] [-user] [-ut] [-mt] [-config Machine\CAName] [-dc DCName]

-SetCATemplates

Définit les modèles de certificat que l’autorité de certification peut émettre.

certutil [options] -SetCATemplates [+ | -] TemplateList

Où:

  • Le signe + ajoute des modèles de certificat à la liste de modèles disponibles de l’autorité de certification.
  • Le signe - supprime les modèles de certificat de la liste de modèles disponibles de l’autorité de certification.

-SetCASites

Gère les noms de site, notamment le paramètre, la vérification et la suppression des noms de site d’autorité de certification.

certutil [options] -SetCASites [set] [SiteName]
certutil [options] -SetCASites verify [SiteName]
certutil [options] -SetCASites delete

Où:

  • SiteName est autorisé uniquement lors du ciblage d’une autorité de certification unique.

Options:

[-f] [-config Machine\CAName] [-dc DCName]

Remarques

  • L’option -config cible une seule autorité de certification (la valeur par défaut est toutes les autorités de certification).
  • L’option peut être utilisée pour remplacer les erreurs de validation pour le siteName spécifié ou pour supprimer tous les noms de site d’autorité de certification.

Note

Pour plus d’informations sur la configuration des autorités de certification pour la sensibilisation aux services de domaine Active Directory (AD DS), consultez ad DS Site Awareness for AD CS et PKI clients.

-enrollmentServerURL

Affiche, ajoute ou supprime les URL du serveur d’inscription associées à une autorité de certification.

certutil [options] -enrollmentServerURL [URL AuthenticationType [Priority] [Modifiers]]
certutil [options] -enrollmentserverURL URL delete

Où:

  • AuthenticationType spécifie l’une des méthodes d’authentification client suivantes lors de l’ajout d’une URL :
    • Kerberos : utilisez les informations d’identification SSL Kerberos.
    • UserName : utilisez un compte nommé pour les informations d’identification SSL.
    • ClientCertificate : utilisez les informations d’identification SSL du certificat X.509.
    • anonyme : utilisez des informations d’identification SSL anonymes.
  • supprimer supprime l’URL spécifiée associée à l’autorité de certification.
  • Priorité par défaut 1 si ce n’est pas spécifié lors de l’ajout d’une URL.
  • modificateurs est une liste séparée par des virgules, qui inclut une ou plusieurs des options suivantes :
    • AllowRenewalsOnly seules les demandes de renouvellement peuvent être envoyées à cette autorité de certification via cette URL.
    • AllowKeyBasedRenewal autorise l’utilisation d’un certificat qui n’a pas de compte associé dans AD. Cela s’applique uniquement avec clientCertificate et mode AllowRenewalsOnly.

Options:

[-config Machine\CAName] [-dc DCName]

-ADCA

Affiche les autorités de certification Active Directory.

certutil [options] -ADCA [CAName]

Options:

[-f] [-split] [-dc DCName]

-CA

Affiche les autorités de certification de stratégie d’inscription.

certutil [options] -CA [CAName | TemplateName]

Options:

[-f] [-user] [-Silent] [-split] [-PolicyServer URLOrId] [-Anonymous] [-Kerberos] [-ClientCertificate ClientCertId] [-UserName UserName] [-p Password]

-Politique

Affiche la stratégie d’inscription.

certutil [options] -Policy

Options:

[-f] [-user] [-Silent] [-split] [-PolicyServer URLOrId] [-Anonymous] [-Kerberos] [-ClientCertificate ClientCertId] [-UserName UserName] [-p Password]

-PolicyCache

Affiche ou supprime les entrées du cache de stratégie d’inscription.

certutil [options] -PolicyCache [delete]

Où:

  • supprimer supprime les entrées du cache du serveur de stratégie.
  • -f supprime toutes les entrées du cache

Options:

[-f] [-user] [-policyserver URLorID]

-CredStore

Affiche, ajoute ou supprime les entrées du Magasin d’informations d’identification.

certutil [options] -CredStore [URL]
certutil [options] -CredStore URL add
certutil [options] -CredStore URL delete

Où:

  • URL est l’URL cible. Vous pouvez également utiliser * pour faire correspondre toutes les entrées ou https://machine* pour correspondre à un préfixe d’URL.
  • ajouter ajoute une entrée de magasin d’informations d’identification. L’utilisation de cette option nécessite également l’utilisation des informations d’identification SSL.
  • supprimer supprime les entrées du magasin d’informations d’identification.
  • -f remplace une seule entrée ou supprime plusieurs entrées.

Options:

[-f] [-user] [-Silent] [-Anonymous] [-Kerberos] [-ClientCertificate ClientCertId] [-UserName UserName] [-p Password]

-InstallDefaultTemplates

Installe les modèles de certificat par défaut.

certutil [options] -InstallDefaultTemplates

Options:

[-dc DCName]

-URL

Vérifie les URL de certificat ou de liste de révocation de certificats.

certutil [options] -URL InFile | URL

Options:

[-f] [-split]

-URLCache

Affiche ou supprime les entrées du cache d’URL.

certutil [options] -URLcache [URL | CRL | * [delete]]

Où:

  • URL est l’URL mise en cache.
  • liste de révocation de certificats s’exécute uniquement sur toutes les URL de liste de révocation de certificats mises en cache.
  • * fonctionne sur toutes les URL mises en cache.
  • supprimer supprime les URL pertinentes du cache local de l’utilisateur actuel.
  • -f force l’extraction d’une URL spécifique et la mise à jour du cache.

Options:

[-f] [-split]

-pouls

Déclenche un événement d’inscription automatique ou une tâche NGC.

certutil [options] -pulse [TaskName [SRKThumbprint]]

Où:

  • TaskName est la tâche à déclencher.
    • pregen est la tâche de prégéner de clé NGC.
    • AIKEnroll est la tâche d’inscription de certificat AIK NGC. (Valeur par défaut de l’événement d’inscription automatique).
  • SRKThumbprint est l’empreinte numérique de la clé racine de stockage
  • modificateurs:
    • Pregen
    • PregenDelay
    • AIKEnroll
    • CryptoPolicy
    • NgcPregenKey
    • DIMSRoam

Options:

[-user]

-MachineInfo

Affiche des informations sur l’objet machine Active Directory.

certutil [options] -MachineInfo DomainName\MachineName$

-DCInfo

Affiche des informations sur le contrôleur de domaine. La valeur par défaut affiche les certificats DC sans vérification.

certutil [options] -DCInfo [Domain] [Verify | DeleteBad | DeleteAll]

  • modificateurs:

    • Vérifier
    • DeleteBad
    • DeleteAll

Options:

[-f] [-user] [-urlfetch] [-dc DCName] [-t Timeout]

Pourboire

La possibilité de spécifier un domaine AD DS (Active Directory Domain Services) [Domaine] et de spécifier un contrôleur de domaine (-dc) a été ajouté dans Windows Server 2012. Pour exécuter correctement la commande, vous devez utiliser un compte membre de Administrateurs de domaine ou Administrateurs d’entreprise. Les modifications de comportement de cette commande sont les suivantes :

  • Si un domaine n’est pas spécifié et qu’un contrôleur de domaine spécifique n’est pas spécifié, cette option retourne une liste de contrôleurs de domaine à traiter à partir du contrôleur de domaine par défaut.
  • Si un domaine n’est pas spécifié, mais qu’un contrôleur de domaine est spécifié, un rapport des certificats sur le contrôleur de domaine spécifié est généré.
  • Si un domaine est spécifié, mais qu’un contrôleur de domaine n’est pas spécifié, une liste de contrôleurs de domaine est générée avec des rapports sur les certificats de chaque contrôleur de domaine de la liste.
  • Si le domaine et le contrôleur de domaine sont spécifiés, une liste de contrôleurs de domaine est générée à partir du contrôleur de domaine ciblé. Un rapport des certificats pour chaque contrôleur de domaine de la liste est également généré.

Par exemple, supposons qu’il existe un domaine nommé CPANDL avec un contrôleur de domaine nommé CPANDL-DC1. Vous pouvez exécuter la commande suivante pour récupérer une liste de contrôleurs de domaine et leurs certificats à partir de CPANDL-DC1 : certutil -dc cpandl-dc1 -DCInfo cpandl.

-EntInfo

Affiche des informations sur une autorité de certification d’entreprise.

certutil [options] -EntInfo DomainName\MachineName$

Options:

[-f] [-user]

-TCAInfo

Affiche des informations sur l’autorité de certification.

certutil [options] -TCAInfo [DomainDN | -]

Options:

[-f] [-Enterprise] [-user] [-urlfetch] [-dc DCName] [-t Timeout]

-SCInfo

Affiche des informations sur la carte à puce.

certutil [options] -scinfo [ReaderName [CRYPT_DELETEKEYSET]]

Où:

  • CRYPT_DELETEKEYSET supprime toutes les clés de la carte à puce.

Options:

[-Silent] [-split] [-urlfetch] [-t Timeout]

-SCRoots

Gère les certificats racines de carte à puce.

certutil [options] -SCRoots update [+][InputRootFile] [ReaderName]
certutil [options] -SCRoots save @OutputRootFile [ReaderName]
certutil [options] -SCRoots view [InputRootFile | ReaderName]
certutil [options] -SCRoots delete [ReaderName]

Options:

[-f] [-split] [-p Password]

-clé

Répertorie les clés stockées dans un conteneur de clés.

certutil [options] -key [KeyContainerName | -]

Où:

  • KeyContainerName est le nom de conteneur de clé de la clé à vérifier. Cette option est par défaut des clés d’ordinateur. Pour basculer vers les clés utilisateur, utilisez -user.
  • L’utilisation du signe - fait référence à l’utilisation du conteneur de clés par défaut.

Options:

[-user] [-Silent] [-split] [-csp Provider] [-Location AlternateStorageLocation]

-delkey

Supprime le conteneur de clé nommée.

certutil [options] -delkey KeyContainerName

Options:

[-user] [-Silent] [-split] [-csp Provider] [-Location AlternateStorageLocation]

-DeleteHelloContainer

Supprime le conteneur Windows Hello, supprimant toutes les informations d’identification associées stockées sur l’appareil, y compris les informations d’identification WebAuthn et FIDO.

Les utilisateurs doivent se déconnecter après avoir utilisé cette option pour qu’elle se termine.

certutil [options] -DeleteHelloContainer

-verifykeys

Vérifie un ensemble de clés publiques ou privées.

certutil [options] -verifykeys [KeyContainerName CACertFile]

Où:

  • KeyContainerName est le nom de conteneur de clé de la clé à vérifier. Cette option est par défaut des clés d’ordinateur. Pour basculer vers les clés utilisateur, utilisez -user.
  • CACertFile signe ou chiffre les fichiers de certificat.

Options:

[-f] [-user] [-Silent] [-config Machine\CAName]

Remarques

  • Si aucun argument n’est spécifié, chaque certificat d’autorité de certification de signature est vérifié par rapport à sa clé privée.
  • Cette opération ne peut être effectuée que sur une autorité de certification locale ou des clés locales.

-vérifier

Vérifie un certificat, une liste de révocation de certificats (CRL) ou une chaîne de certificats.

certutil [options] -verify CertFile [ApplicationPolicyList | - [IssuancePolicyList]] [Modifiers]
certutil [options] -verify CertFile [CACertFile [CrossedCACertFile]]
certutil [options] -verify CRLFile CACertFile [IssuedCertFile]
certutil [options] -verify CRLFile CACertFile [DeltaCRLFile]

Où:

  • CertFile est le nom du certificat à vérifier.
  • ApplicationPolicyList est la liste facultative séparée par des virgules des ObjectIds de stratégie d’application requises.
  • issuancePolicyList est la liste facultative séparée par des virgules des objectIds de stratégie d’émission obligatoires.
  • CACertFile est le certificat d’autorité de certification facultatif à vérifier.
  • CrossedCACertFile est le certificat facultatif certifié par CertFile.
  • CRLFile est le fichier de liste de révocation de certificats utilisé pour vérifier leCACertFile .
  • IssuedCertFile est le certificat émis facultatif couvert par le fichier CRLfile.
  • deltaCRLFile est le fichier de liste de révocation de certificats delta facultatif.
  • modificateurs:
    • Forte - Vérification forte de la signature
    • MSRoot - Doit chaîner à une racine Microsoft
    • MSTestRoot - Doit chaîner à une racine de test Microsoft
    • AppRoot - Doit chaîner à une racine d’application Microsoft
    • EV - Appliquer une stratégie de validation étendue

Options:

[-f] [-Enterprise] [-user] [-Silent] [-split] [-urlfetch] [-t Timeout] [-sslpolicy ServerName]

Remarques

  • L’utilisation de ApplicationPolicyList limite la génération de chaînes aux chaînes valides pour les stratégies d’application spécifiées.
  • L’utilisation de IssuancePolicyList limite la génération de chaînes aux chaînes valides pour les stratégies d’émission spécifiées.
  • L’utilisation CACertFile vérifie les champs du fichier sur CertFile ou CRLfile .
  • Si caCertFile n’est pas spécifié, la chaîne complète est générée et vérifiée sur CertFile .
  • Si CACertFile et crossedCACertFile sont tous les deux spécifiés, les champs des deux fichiers sont vérifiés par rapport à CertFile .
  • L’utilisation de IssuedCertFile vérifie les champs du fichier sur CRLfile .
  • L’utilisation de DeltaCRLFile vérifie les champs du fichier sur CertFile .

-verifyCTL

Vérifie la durée de vie des certificats AuthRoot ou Non autorisés.

certutil [options] -verifyCTL CTLobject [CertDir] [CertFile]

Où:

  • CTLObject identifie la durée de vie à vérifier, notamment :

    • AuthRootWU lit le cab AuthRoot et les certificats correspondants à partir du cache d’URL. Utilisez -f à télécharger à partir de Windows Update à la place.
    • Non autoriséWU lit le fichier CAB de certificats non autorisés et le fichier de magasin de certificats non autorisé du cache d’URL. Utilisez -f à télécharger à partir de Windows Update à la place.
      • PinRulesWU lit le cab PinRules à partir du cache d’URL. Utilisez -f à télécharger à partir de Windows Update à la place.
    • AuthRoot lit la durée de vie AuthRoot mise en cache dans le registre. Utiliser avec -f et un CertFile non approuvé pour forcer la mise à jour des listes de certificats non approuvées AuthRoot et disallowed Certificate CTLs.
    • non autorisé lit la durée de vie des certificats non autorisés mis en cache dans le Registre. Utiliser avec -f et un CertFile non approuvé pour forcer la mise à jour des listes de certificats non approuvées AuthRoot et disallowed Certificate CTLs.
      • PinRules lit la durée de vie pinRules mise en cache dans le Registre. L’utilisation de -f a le même comportement qu’avec pinRulesWU.
    • CTLFileName spécifie le fichier ou le chemin http du fichier CTL ou CAB.

  • CertDir spécifie le dossier contenant des certificats correspondant aux entrées CTL. La valeur par défaut est le même dossier ou site web que le CTLobject. L’utilisation d’un chemin de dossier HTTP nécessite un séparateur de chemins à la fin. Si vous ne spécifiez pas AuthRoot ou non autorisé, plusieurs emplacements sont recherchés pour les certificats correspondants, notamment les magasins de certificats locaux, les ressources crypt32.dll et le cache d’URL local. Utilisez -f pour télécharger à partir de Windows Update, si nécessaire.

  • CertFile spécifie le ou les certificats à vérifier. Les certificats sont mis en correspondance avec les entrées CTL, affichant les résultats. Cette option supprime la plupart des sorties par défaut.

Options:

[-f] [-user] [-split]

-syncWithWU

Synchronise les certificats avec Windows Update.

certutil [options] -syncWithWU DestinationDir

Où:

  • DestinationDir est le répertoire spécifié.
  • f force un remplacement.
  • unicode écrit une sortie redirigée dans Unicode.
  • gmt affiche les heures gmt.
  • secondes affiche des heures avec des secondes et des millisecondes.
  • v est une opération détaillée.
  • code confidentiel est le code confidentiel de la carte à puce.
  • WELL_KNOWN_SID_TYPE est un SID numérique :
    • 22 - Système local
    • 23 - Service local
    • 24 - Service réseau

Remarques

Les fichiers suivants sont téléchargés à l’aide du mécanisme de mise à jour automatique :

  • authrootstl.cab contient les listes CTL des certificats racines non-Microsoft.
  • disallowedcertstl.cab contient les listes CTL de certificats non approuvés.
  • non autorisécert.sst contient le magasin de certificats sérialisé, y compris les certificats non approuvés.
  • empreinte.crt contient les certificats racines non-Microsoft.

Par exemple, certutil -syncWithWU \\server1\PKI\CTLs.

  • Si vous utilisez un chemin ou un dossier local inexistant comme dossier de destination, l’erreur s’affiche : The system can't find the file specified. 0x80070002 (WIN32: 2 ERROR_FILE_NOT_FOUND)

  • Si vous utilisez un emplacement réseau inexistant ou indisponible comme dossier de destination, vous voyez l’erreur suivante : The network name can't be found. 0x80070043 (WIN32: 67 ERROR_BAD_NET_NAME)

  • Si votre serveur ne peut pas se connecter via le port TCP 80 aux serveurs Microsoft Automatic Update, vous recevez l’erreur suivante : A connection with the server couldn't be established 0x80072efd (INet: 12029 ERROR_INTERNET_CANNOT_CONNECT)

  • Si votre serveur ne parvient pas à atteindre les serveurs De mise à jour automatique Microsoft avec le nom DNS ctldl.windowsupdate.com, vous recevez l’erreur suivante : The server name or address couldn't be resolved 0x80072ee7 (INet: 12007 ERROR_INTERNET_NAME_NOT_RESOLVED).

  • Si vous n’utilisez pas le commutateur -f et que l’un des fichiers CTL existe déjà dans le répertoire, vous recevez une erreur : certutil: -syncWithWU command FAILED: 0x800700b7 (WIN32/HTTP: 183 ERROR_ALREADY_EXISTS) Certutil: Can't create a file when that file already exists.

  • S’il existe une modification dans les certificats racines approuvés, vous voyez : Warning! Encountered the following no longer trusted roots: <folder path>\<thumbprint>.crt. Use "-f" option to force the delete of the above ".crt" files. Was "authrootstl.cab" updated? If yes, consider deferring the delete until all clients have been updated.

Options:

[-f] [-Unicode] [-gmt] [-seconds] [-v] [-privatekey] [-pin PIN] [-sid WELL_KNOWN_SID_TYPE]

-generateSSTFromWU

Génère un fichier de magasin synchronisé avec Windows Update.

certutil [options] -generateSSTFromWU SSTFile

Où:

  • SSTFile est le fichier .sst à générer qui contient les racines tierces téléchargées à partir de Windows Update.

Options:

[-f] [-split]

-generatePinRulesCTL

Génère un fichier CTL (Certificate Trust List) qui contient une liste de règles d’épinglage.

certutil [options] -generatePinRulesCTL XMLFile CTLFile [SSTFile [QueryFilesPrefix]]

Où:

  • xmlFile est le fichier XML d’entrée à analyser.
  • CTLFile est le fichier CTL de sortie à générer.
  • SSTFile est le fichier .sst facultatif à créer qui contient tous les certificats utilisés pour l’épinglage.
  • QueryFilesPrefix sont des fichiers Domains.csv facultatifs et Keys.csv à créer pour la requête de base de données.
    • La chaîne QueryFilesPrefix est ajoutée à chaque fichier créé.
    • Le fichier Domains.csv contient le nom de règle, les lignes de domaine.
    • Le fichier Keys.csv contient le nom de la règle, les lignes d’empreinte SHA256 de clé.

Options:

[-f]

-downloadOcsp

Télécharge les réponses OCSP et écrit dans le répertoire.

certutil [options] -downloadOcsp CertificateDir OcspDir [ThreadCount] [Modifiers]

Où:

  • CertificateDir est le répertoire d’un certificat, d’un magasin et d’un fichier PFX.
  • ocspDir est le répertoire pour écrire des réponses OCSP.
  • ThreadCount est le nombre maximal facultatif de threads pour le téléchargement simultané. La valeur par défaut est 10.
  • modificateurs sont une liste séparée par des virgules d’une ou plusieurs des options suivantes :
    • DownloadOnce : télécharge une fois et se ferme.
    • ReadOcsp - Lit à partir d’OcspDir au lieu d’écrire.

-generateHpkpHeader

Génère l’en-tête HPKP à l’aide de certificats dans un fichier ou un répertoire spécifié.

certutil [options] -generateHpkpHeader CertFileOrDir MaxAge [ReportUri] [Modifiers]

Où:

  • CertFileOrDir est le fichier ou le répertoire des certificats, qui est la source du code pin-sha256.
  • MaxAge est la valeur d’âge maximal en secondes.
  • ReportUri est l’URI de rapport facultatif.
  • modificateurs sont une liste séparée par des virgules d’une ou plusieurs des options suivantes :
    • includeSubDomains : ajoute les includeSubDomains.

-flushCache

Vide les caches spécifiés dans le processus sélectionné, par exemple, lsass.exe.

certutil [options] -flushCache ProcessId CacheMask [Modifiers]

Où:

  • ProcessId est l’ID numérique d’un processus à vider. Défini sur 0 pour vider tous les processus où le vidage est activé.

  • cacheMask est le masque de bits des caches à vider numériquement ou les bits suivants :

    • 0: ShowOnly
    • 0x01: CERT_WNF_FLUSH_CACHE_REVOCATION
    • 0x02: CERT_WNF_FLUSH_CACHE_OFFLINE_URL
    • 0x04: CERT_WNF_FLUSH_CACHE_MACHINE_CHAIN_ENGINE
    • 0x08: CERT_WNF_FLUSH_CACHE_USER_CHAIN_ENGINES
    • 0x10: CERT_WNF_FLUSH_CACHE_SERIAL_CHAIN_CERTS
    • 0x20: CERT_WNF_FLUSH_CACHE_SSL_TIME_CERTS
    • 0x40: CERT_WNF_FLUSH_CACHE_OCSP_STAPLING

  • modificateurs sont une liste séparée par des virgules d’une ou plusieurs des options suivantes :

    • Afficher : affiche les caches vidés. Certutil doit être explicitement arrêté.

-addEccCurve

Ajoute une courbe ECC.

certutil [options] -addEccCurve [CurveClass:]CurveName CurveParameters [CurveOID] [CurveType]

Où:

  • CurveClass est le type de classe de courbe ECC :

    • WEIERSTRASS (par défaut)
    • MONTGOMERY
    • TWISTED_EDWARDS

  • CurveName est le nom de la courbe ECC.

  • CurveParameters sont l’un des éléments suivants :

    • Nom de fichier de certificat contenant des paramètres encodés ASN.
    • Fichier contenant des paramètres encodés ASN.

  • curveOID est l’OID de courbe ECC et est l’un des éléments suivants :

    • Nom de fichier de certificat contenant un OID encodé ASN.
    • OID de courbe ECC explicite.

  • CurveType est le point Schannel ECC NamedCurve (numérique).

Options:

[-f]

-deleteEccCurve

Supprime la courbe ECC.

certutil [options] -deleteEccCurve CurveName | CurveOID

Où:

  • CurveName est le nom de la courbe ECC.
  • CurveOID est l’OID de courbe ECC.

Options:

[-f]

-displayEccCurve

Affiche la courbe ECC.

certutil [options] -displayEccCurve [CurveName | CurveOID]

Où:

  • CurveName est le nom de la courbe ECC.
  • CurveOID est l’OID de courbe ECC.

Options:

[-f]

-csplist

Répertorie les fournisseurs de services de chiffrement installés sur cet ordinateur pour les opérations de chiffrement.

certutil [options] -csplist [Algorithm]

Options:

[-user] [-Silent] [-csp Provider]

-csptest

Teste les fournisseurs de services cloud installés sur cet ordinateur.

certutil [options] -csptest [Algorithm]

Options:

[-user] [-Silent] [-csp Provider]

-CNGConfig

Affiche la configuration de chiffrement CNG sur cet ordinateur.

certutil [options] -CNGConfig

Options:

[-Silent]

-signe

Signe à nouveau une liste de révocation de certificats (CRL) ou un certificat.

certutil [options] -sign InFileList | SerialNumber | CRL OutFileList [StartDate [+ | -dd:hh] + | -dd:hh] [+SerialNumberList | -SerialNumberList | -ObjectIdList | @ExtensionFile]
certutil [options] -sign InFileList | SerialNumber | CRL OutFileList [#HashAlgorithm] [+AlternateSignatureAlgorithm | -AlternateSignatureAlgorithm]
certutil [options] -sign InFileList OutFileList [Subject:CN=...] [Issuer:hex data]

Où:

  • InFileList est la liste séparée par des virgules des fichiers de certificat ou de liste de révocation de certificats pour modifier et réinscrire.

  • SerialNumber est le numéro de série du certificat à créer. La période de validité et d’autres options ne peuvent pas être présentes.

  • liste de révocation de certificats crée une liste de révocation de certificats vide. La période de validité et d’autres options ne peuvent pas être présentes.

  • OutFileList est la liste séparée par des virgules des fichiers de sortie de certificat ou de liste de révocation de certificats modifiés. Le nombre de fichiers doit correspondre à la liste des fichiers.

  • StartDate+dd :hh est la nouvelle période de validité des fichiers de certificat ou de liste de révocation de certificats, notamment :

    • date facultative plus
    • jours et heures de validité facultatifs Si plusieurs champs sont utilisés, utilisez un séparateur (+) ou (-). Utilisez now[+dd:hh] pour commencer à l’heure actuelle. Utilisez now-dd:hh+dd:hh pour commencer à un décalage fixe de l’heure actuelle et une période de validité fixe. Utilisez never pour ne pas avoir de date d’expiration (pour les listes de révocation de certificats uniquement).

  • SerialNumberList est la liste des numéros de série séparés par des virgules des fichiers à ajouter ou supprimer.

  • ObjectIdList est la liste ObjectId d’extension séparée par des virgules des fichiers à supprimer.

  • @ExtensionFile est le fichier INF qui contient les extensions à mettre à jour ou à supprimer. Par exemple:

    [Extensions]
    2.5.29.31 = ; Remove CRL Distribution Points extension
    2.5.29.15 = {hex} ; Update Key Usage extension
    _continue_=03 02 01 86

  • hashAlgorithm est le nom de l’algorithme de hachage. Il ne doit s’agir que du texte précédé du signe #.

  • AlternateSignatureAlgorithm est le spécificateur d’algorithme de signature de remplacement.

Options:

[-nullsign] [-f] [-user] [-Silent] [-Cert CertId] [-csp Provider]

Remarques

  • L’utilisation du signe moins (-) supprime les numéros de série et les extensions.
  • L’utilisation du signe plus (+) ajoute des numéros de série à une liste de révocation de certificats.
  • Vous pouvez utiliser une liste pour supprimer les numéros de série et ObjectIds d’une liste de révocation de certificats en même temps.
  • L’utilisation du signe moins avant AlternateSignatureAlgorithm vous permet d’utiliser le format de signature hérité.
  • L’utilisation du signe plus vous permet d’utiliser le format de signature de remplacement.
  • Si vous ne spécifiez pas AlternateSignatureAlgorithm, le format de signature dans le certificat ou la liste de révocation de certificats est utilisé.

-vroot

Crée ou supprime des racines virtuelles web et des partages de fichiers.

certutil [options] -vroot [delete]

-vocsproot

Crée ou supprime des racines virtuelles web pour un proxy web OCSP.

certutil [options] -vocsproot [delete]

-addEnrollmentServer

Ajoute une application serveur d’inscription et un pool d’applications si nécessaire pour l’autorité de certification spécifiée. Cette commande n’installe pas les fichiers binaires ou les packages.

certutil [options] -addEnrollmentServer Kerberos | UserName | ClientCertificate [AllowRenewalsOnly] [AllowKeyBasedRenewal]

Où:

  • addEnrollmentServer vous oblige à utiliser une méthode d’authentification pour la connexion cliente au serveur d’inscription de certificat, notamment :

    • Kerberos utilise les informations d’identification SSL Kerberos.
    • UserName utilise un compte nommé pour les informations d’identification SSL.
    • ClientCertificate utilise des informations d’identification SSL de certificat X.509.

  • modificateurs:

    • AllowRenewalsOnly autorise uniquement les soumissions de demandes de renouvellement à l’autorité de certification via l’URL.
    • AllowKeyBasedRenewal autorise l’utilisation d’un certificat sans compte associé dans Active Directory. Cela s’applique lorsqu’il est utilisé avec clientCertificate et mode AllowRenewalsOnly.

Options:

[-config Machine\CAName]

-deleteEnrollmentServer

Supprime une application serveur d’inscription et un pool d’applications si nécessaire pour l’autorité de certification spécifiée. Cette commande n’installe pas les fichiers binaires ou les packages.

certutil [options] -deleteEnrollmentServer Kerberos | UserName | ClientCertificate

Où:

  • deleteEnrollmentServer vous oblige à utiliser une méthode d’authentification pour la connexion cliente au serveur d’inscription de certificat, notamment :
    • Kerberos utilise les informations d’identification SSL Kerberos.
    • UserName utilise un compte nommé pour les informations d’identification SSL.
    • ClientCertificate utilise des informations d’identification SSL de certificat X.509.

Options:

[-config Machine\CAName]

-addPolicyServer

Ajoutez une application et un pool d’applications Policy Server, si nécessaire. Cette commande n’installe pas les fichiers binaires ou les packages.

certutil [options] -addPolicyServer Kerberos | UserName | ClientCertificate [KeyBasedRenewal]

Où:

  • addPolicyServer vous oblige à utiliser une méthode d’authentification pour la connexion cliente au serveur de stratégie de certificat, notamment :
    • Kerberos utilise les informations d’identification SSL Kerberos.
    • UserName utilise un compte nommé pour les informations d’identification SSL.
    • ClientCertificate utilise des informations d’identification SSL de certificat X.509.
  • KeyBasedRenewal autorise l’utilisation de stratégies retournées au client contenant des modèles keybasedrenewal. Cette option s’applique uniquement à l’authentification UserName et ClientCertificate.

-deletePolicyServer

Supprime une application de serveur de stratégies et un pool d’applications, si nécessaire. Cette commande ne supprime pas les fichiers binaires ou les packages.

certutil [options] -deletePolicyServer Kerberos | UserName | ClientCertificate [KeyBasedRenewal]

Où:

  • deletePolicyServer vous oblige à utiliser une méthode d’authentification pour la connexion cliente au serveur de stratégie de certificat, notamment :
    • Kerberos utilise les informations d’identification SSL Kerberos.
    • UserName utilise un compte nommé pour les informations d’identification SSL.
    • ClientCertificate utilise des informations d’identification SSL de certificat X.509.
  • KeyBasedRenewal autorise l’utilisation d’un serveur de stratégie KeyBasedRenewal.

-Classe

Affiche les informations de Registre COM.

certutil [options] -Class [ClassId | ProgId | DllName | *]

Options:

[-f]

-7f

Vérifie le certificat pour les encodages de longueur 0x7f.

certutil [options] -7f CertFile

-Oid

Affiche l’identificateur d’objet ou définit un nom d’affichage.

certutil [options] -oid ObjectId [DisplayName | delete [LanguageId [type]]]
certutil [options] -oid GroupId
certutil [options] -oid AlgId | AlgorithmName [GroupId]

Où:

  • ObjectId est l’ID à afficher ou à ajouter au nom d’affichage.
  • GroupId est le numéro GroupID (décimal) énuméré par ObjectIds.
  • AlgId est l’ID hexadécimal que l’objectID recherche.
  • AlgorithmName est le nom de l’algorithme que l’ID d’objet recherche.
  • DisplayName affiche le nom à stocker dans DS.
  • Supprimer supprime le nom complet.
  • LanguageId est la valeur de l’ID de langue (valeur par défaut : 1033).
  • Type est le type d’objet DS à créer, notamment :
    • 1 - Modèle (par défaut)
    • 2 - Stratégie d’émission
    • 3 - Stratégie d’application
  • -f crée un objet DS.

Options:

[-f]

-erreur

Affiche le texte du message associé à un code d’erreur.

certutil [options] -error ErrorCode

-getsmtpinfo

Obtient des informations SMTP (Simple Mail Transfer Protocol).

certutil [options] -getsmtpinfo

-setsmtpinfo

Définit les informations SMTP.

certutil [options] -setsmtpinfo LogonName

Options:

[-config Machine\CAName] [-p Password]

-getreg

Affiche une valeur de Registre.

certutil [options] -getreg [{ca | restore | policy | exit | template | enroll | chain | PolicyServers}\[ProgId\]] [RegistryValueName]

Où:

  • ca utilise la clé de Registre d’une autorité de certification.
  • restaurer utilise la clé de Registre de restauration de l’autorité de certification.
  • stratégie utilise la clé de Registre du module de stratégie.
  • quitter utilise la clé de Registre du premier module de sortie.
  • modèle utilise la clé de Registre du modèle (utilisez -user pour les modèles utilisateur).
  • inscrire utilise la clé de Registre d’inscription (utilisez -user pour le contexte utilisateur).
  • chaîne utilise la clé de Registre de configuration de la chaîne.
  • PolicyServers utilise la clé de Registre des serveurs de stratégies.
  • ProgId utilise le ProgID du module de stratégie ou de sortie (nom de sous-clé de Registre).
  • RegistryValueName utilise le nom de la valeur de Registre (utilisez Name* pour faire correspondre le préfixe).
  • valeur utilise la nouvelle valeur de Registre numérique, chaîne ou date ou nom de fichier. Si une valeur numérique commence par + ou -, les bits spécifiés dans la nouvelle valeur sont définis ou effacés dans la valeur de Registre existante.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-config Machine\CAName]

Remarques

  • Si une valeur de chaîne commence par + ou -et que la valeur existante est une valeur REG_MULTI_SZ, la chaîne est ajoutée ou supprimée de la valeur de Registre existante. Pour forcer la création d’une valeur REG_MULTI_SZ, ajoutez \n à la fin de la valeur de chaîne.
  • Si la valeur commence par \@, le reste de la valeur est le nom du fichier contenant la représentation textuelle hexadécimale d’une valeur binaire.
  • S’il ne fait pas référence à un fichier valide, il est plutôt analysé comme [Date][+|-][dd:hh] qui est une date facultative plus ou moins des jours et heures facultatifs.
  • Si les deux sont spécifiés, utilisez un séparateur signe plus (+) ou signe moins (-). Utilisez now+dd:hh pour une date relative à l’heure actuelle.
  • Utilisez i64 en tant que suffixe pour créer une valeur REG_QWORD.
  • Utilisez chain\chaincacheresyncfiletime @now pour vider efficacement les listes de révocation de certificats mis en cache.
  • Alias de Registre :
    • Configuration
    • CA
    • Stratégie - PolicyModules
    • Exit - ExitModules
    • Restaurer - RestoreInProgress
    • Modèle - Software\Microsoft\Cryptography\CertificateTemplateCache
    • Inscrire - Software\Microsoft\Cryptography\AutoEnrollment (Software\Policies\Microsoft\Cryptography\AutoEnrollment)
    • MSCEP - Software\Microsoft\Cryptography\MSCEP
    • Chaîne - Software\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config
    • PolicyServers - Software\Microsoft\Cryptography\PolicyServers (Software\Policies\Microsoft\Cryptography\PolicyServers)
    • Crypt32 - System\CurrentControlSet\Services\crypt32
    • NGC - System\CurrentControlSet\Control\Cryptography\Ngc
    • AutoUpdate - Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate
    • Passport - Software\Policies\Microsoft\PassportForWork
    • GPM - Software\Microsoft\Policies\PassportForWork

-setreg

Définit une valeur de Registre.

certutil [options] -setreg [{ca | restore | policy | exit | template | enroll | chain | PolicyServers}\[ProgId\]] RegistryValueName Value

Où:

  • ca utilise la clé de Registre d’une autorité de certification.
  • restaurer utilise la clé de Registre de restauration de l’autorité de certification.
  • stratégie utilise la clé de Registre du module de stratégie.
  • quitter utilise la clé de Registre du premier module de sortie.
  • modèle utilise la clé de Registre du modèle (utilisez -user pour les modèles utilisateur).
  • inscrire utilise la clé de Registre d’inscription (utilisez -user pour le contexte utilisateur).
  • chaîne utilise la clé de Registre de configuration de la chaîne.
  • PolicyServers utilise la clé de Registre des serveurs de stratégies.
  • ProgId utilise le ProgID du module de stratégie ou de sortie (nom de sous-clé de Registre).
  • RegistryValueName utilise le nom de la valeur de Registre (utilisez Name* pour faire correspondre le préfixe).
  • Valeur utilise la nouvelle valeur de Registre numérique, chaîne ou date ou nom de fichier. Si une valeur numérique commence par + ou -, les bits spécifiés dans la nouvelle valeur sont définis ou effacés dans la valeur de Registre existante.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-config Machine\CAName]

Remarques

  • Si une valeur de chaîne commence par + ou -et que la valeur existante est une valeur REG_MULTI_SZ, la chaîne est ajoutée ou supprimée de la valeur de Registre existante. Pour forcer la création d’une valeur REG_MULTI_SZ, ajoutez \n à la fin de la valeur de chaîne.
  • Si la valeur commence par \@, le reste de la valeur est le nom du fichier contenant la représentation textuelle hexadécimale d’une valeur binaire.
  • S’il ne fait pas référence à un fichier valide, il est plutôt analysé comme [Date][+|-][dd:hh] qui est une date facultative plus ou moins des jours et heures facultatifs.
  • Si les deux sont spécifiés, utilisez un séparateur signe plus (+) ou signe moins (-). Utilisez now+dd:hh pour une date relative à l’heure actuelle.
  • Utilisez i64 en tant que suffixe pour créer une valeur REG_QWORD.
  • Utilisez chain\chaincacheresyncfiletime @now pour vider efficacement les listes de révocation de certificats mis en cache.

-delreg

Supprime une valeur de Registre.

certutil [options] -delreg [{ca | restore | policy | exit | template | enroll |chain | PolicyServers}\[ProgId\]][RegistryValueName]

Où:

  • ca utilise la clé de Registre d’une autorité de certification.
  • restaurer utilise la clé de Registre de restauration de l’autorité de certification.
  • stratégie utilise la clé de Registre du module de stratégie.
  • quitter utilise la clé de Registre du premier module de sortie.
  • modèle utilise la clé de Registre du modèle (utilisez -user pour les modèles utilisateur).
  • inscrire utilise la clé de Registre d’inscription (utilisez -user pour le contexte utilisateur).
  • chaîne utilise la clé de Registre de configuration de la chaîne.
  • PolicyServers utilise la clé de Registre des serveurs de stratégies.
  • ProgId utilise le ProgID du module de stratégie ou de sortie (nom de sous-clé de Registre).
  • RegistryValueName utilise le nom de la valeur de Registre (utilisez Name* pour faire correspondre le préfixe).
  • Valeur utilise la nouvelle valeur de Registre numérique, chaîne ou date ou nom de fichier. Si une valeur numérique commence par + ou -, les bits spécifiés dans la nouvelle valeur sont définis ou effacés dans la valeur de Registre existante.

Options:

[-f] [-Enterprise] [-user] [-GroupPolicy] [-config Machine\CAName]

Remarques

  • Si une valeur de chaîne commence par + ou -et que la valeur existante est une valeur REG_MULTI_SZ, la chaîne est ajoutée ou supprimée de la valeur de Registre existante. Pour forcer la création d’une valeur REG_MULTI_SZ, ajoutez \n à la fin de la valeur de chaîne.
  • Si la valeur commence par \@, le reste de la valeur est le nom du fichier contenant la représentation textuelle hexadécimale d’une valeur binaire.
  • S’il ne fait pas référence à un fichier valide, il est plutôt analysé comme [Date][+|-][dd:hh] qui est une date facultative plus ou moins des jours et heures facultatifs.
  • Si les deux sont spécifiés, utilisez un séparateur signe plus (+) ou signe moins (-). Utilisez now+dd:hh pour une date relative à l’heure actuelle.
  • Utilisez i64 en tant que suffixe pour créer une valeur REG_QWORD.
  • Utilisez chain\chaincacheresyncfiletime @now pour vider efficacement les listes de révocation de certificats mis en cache.
  • Alias de Registre :
    • Configuration
    • CA
    • Stratégie - PolicyModules
    • Exit - ExitModules
    • Restaurer - RestoreInProgress
    • Modèle - Software\Microsoft\Cryptography\CertificateTemplateCache
    • Inscrire - Software\Microsoft\Cryptography\AutoEnrollment (Software\Policies\Microsoft\Cryptography\AutoEnrollment)
    • MSCEP - Software\Microsoft\Cryptography\MSCEP
    • Chaîne - Software\Microsoft\Cryptography\OID\EncodingType 0\CertDllCreateCertificateChainEngine\Config
    • PolicyServers - Software\Microsoft\Cryptography\PolicyServers (Software\Policies\Microsoft\Cryptography\PolicyServers)
    • Crypt32 - System\CurrentControlSet\Services\crypt32
    • NGC - System\CurrentControlSet\Control\Cryptography\Ngc
    • AutoUpdate - Software\Microsoft\SystemCertificates\AuthRoot\AutoUpdate
    • Passport - Software\Policies\Microsoft\PassportForWork
    • GPM - Software\Microsoft\Policies\PassportForWork

-importKMS

Importe les clés utilisateur et les certificats dans la base de données du serveur pour l’archivage des clés.

certutil [options] -importKMS UserKeyAndCertFile [CertId]

Où:

  • UserKeyAndCertFile est un fichier de données avec des clés privées et des certificats utilisateur à archiver. Ce fichier peut être :
    • Fichier d’exportation KMS (Exchange Key Management Server).
    • Fichier PFX.
  • CertId est un jeton de correspondance de certificat de déchiffrement de fichier d’exportation KMS. Pour plus d’informations, consultez le paramètre -store dans cet article.
  • -f importe les certificats non émis par l’autorité de certification.

Options:

[-f] [-Silent] [-split] [-config Machine\CAName] [-p Password] [-symkeyalg SymmetricKeyAlgorithm[,KeyLength]]

-ImportCert

Importe un fichier de certificat dans la base de données.

certutil [options] -ImportCert Certfile [ExistingRow]

Où:

  • ExistingRow importe le certificat à la place d’une demande en attente pour la même clé.
  • -f importe les certificats non émis par l’autorité de certification.

Options:

[-f] [-config Machine\CAName]

Remarques

L’autorité de certification peut également avoir besoin d’être configurée pour prendre en charge les certificats étrangers en exécutant certutil -setreg ca\KRAFlags +KRAF_ENABLEFOREIGN.

-GetKey

Récupère un objet blob de récupération de clé privée archivé, génère un script de récupération ou récupère des clés archivées.

certutil [options] -GetKey SearchToken [RecoveryBlobOutFile]
certutil [options] -GetKey SearchToken script OutputScriptFile
certutil [options] -GetKey SearchToken retrieve | recover OutputFileBaseName

Où:

  • script génère un script pour récupérer et récupérer des clés (comportement par défaut si plusieurs candidats de récupération correspondants sont trouvés ou si le fichier de sortie n’est pas spécifié).
  • récupérer récupère un ou plusieurs objets blob de récupération de clés (comportement par défaut si exactement un candidat de récupération correspondant est trouvé et si le fichier de sortie est spécifié). Cette option tronque n’importe quelle extension et ajoute la chaîne spécifique au certificat et l’extension .rec pour chaque objet blob de récupération de clé. Chaque fichier contient une chaîne de certificats et une clé privée associée, toujours chiffrée à un ou plusieurs certificats De l’Agent de récupération de clés.
  • récupérer récupère et récupère des clés privées en une seule étape (nécessite des certificats d’agent de récupération de clés et des clés privées). L’utilisation de cette option tronque n’importe quelle extension et ajoute l’extension .p12. Chaque fichier contient les chaînes de certificats récupérées et les clés privées associées, stockées en tant que fichier PFX.
  • SearchToken sélectionne les clés et certificats à récupérer, notamment :
    • Nom commun du certificat
    • Numéro de série du certificat
    • Hachage SHA-1 de certificat (empreinte numérique)
    • Hachage SHA-1 KeyId de certificat (identificateur de clé d’objet)
    • Nom du demandeur (domaine\utilisateur)
    • UPN (user@domain)
  • RecoveryBlobOutFile génère un fichier avec une chaîne de certificats et une clé privée associée, toujours chiffrée à un ou plusieurs certificats De l’Agent de récupération de clés.
  • OutputScriptFile génère un fichier avec un script batch pour récupérer et récupérer des clés privées.
  • OutputFileBaseName génère un nom de base de fichier.

Options:

[-f] [-UnicodeText] [-Silent] [-config Machine\CAName] [-p Password] [-ProtectTo SAMNameAndSIDList] [-csp Provider]

Remarques

  • Pour récupérer, toute extension est tronquée et une chaîne spécifique au certificat et les extensions .rec sont ajoutées pour chaque objet blob de récupération de clé. Chaque fichier contient une chaîne de certificats et une clé privée associée, toujours chiffrée à un ou plusieurs certificats De l’Agent de récupération de clés.
  • Pour récupérer, toute extension est tronquée et l’extension .p12 est ajoutée. Contient les chaînes de certificats récupérées et les clés privées associées, stockées sous forme de fichier PFX.

-RecoverKey

Récupère une clé privée archivée.

certutil [options] -RecoverKey RecoveryBlobInFile [PFXOutFile [RecipientIndex]]

Options:

[-f] [-user] [-Silent] [-split] [-p Password] [-ProtectTo SAMNameAndSIDList] [-csp Provider] [-t Timeout]

-mergePFX

Fusionne les fichiers PFX.

certutil [options] -MergePFX PFXInFileList PFXOutFile [Modifiers]

Où:

  • PFXInFileList est une liste séparée par des virgules des fichiers d’entrée PFX.
  • PFXOutFile est le nom du fichier de sortie PFX.
  • modificateurs sont des listes séparées par des virgules d’une ou plusieurs des options suivantes :
    • ExtendedProperties inclut toutes les propriétés étendues.
    • NoEncryptCert spécifie de ne pas chiffrer les certificats.
    • EncryptCert spécifie pour chiffrer les certificats.

Options:

[-f] [-user] [-split] [-p password] [-ProtectTo SAMNameAndSIDList] [-csp Provider]

Remarques

  • Le mot de passe spécifié sur la ligne de commande doit être une liste de mots de passe séparés par des virgules.
  • Si plusieurs mots de passe sont spécifiés, le dernier mot de passe est utilisé pour le fichier de sortie. Si un seul mot de passe est fourni ou si le dernier mot de passe est *, l’utilisateur est invité à entrer le mot de passe du fichier de sortie.

-add-chain

Ajoute une chaîne de certificats.

certutil [options] -add-chain LogId certificate OutFile

Options:

[-f]

-add-pre-chain

Ajoute une chaîne de pré-certificats.

certutil [options] -add-pre-chain LogId pre-certificate OutFile

Options:

[-f]

-get-sth

Obtient une tête d’arborescence signée.

certutil [options] -get-sth [LogId]

Options:

[-f]

-get-sth-consistency

Obtient les modifications apportées à la tête de l’arborescence signée.

certutil [options] -get-sth-consistency LogId TreeSize1 TreeSize2

Options:

[-f]

-get-proof-by-hash

Obtient la preuve d’un hachage à partir d’un serveur d’horodatage.

certutil [options] -get-proof-by-hash LogId Hash [TreeSize]

Options:

[-f]

-get-entries

Récupère les entrées d’un journal des événements.

certutil [options] -get-entries LogId FirstIndex LastIndex

Options:

[-f]

-get-roots

Récupère les certificats racines du magasin de certificats.

certutil [options] -get-roots LogId

Options:

[-f]

-get-entry-and-proof

Récupère une entrée de journal des événements et sa preuve de chiffrement.

certutil [options] -get-entry-and-proof LogId Index [TreeSize]

Options:

[-f]

-VerifyCT

Vérifie un certificat par rapport au journal de transparence des certificats.

certutil [options] -VerifyCT Certificate SCT [precert]

Options:

[-f]

-?

Affiche la liste des paramètres.

certutil -?
certutil <name_of_parameter> -?
certutil -? -v

Où:

  • -? affiche la liste des paramètres
  • -<name_of_parameter> - ? affiche le contenu d’aide du paramètre spécifié.
  • -? -v affiche une liste détaillée de paramètres et d’options.

Options

Cette section définit toutes les options que vous pouvez spécifier, en fonction de la commande. Chaque paramètre inclut des informations sur les options valides à utiliser.

Option Description
-Admin Utilisez ICertAdmin2 pour les propriétés de l’autorité de certification.
-anonyme Utilisez des informations d’identification SSL anonymes.
-cert CertId Certificat de signature.
-clientcertificate clientCertId Utilisez les informations d’identification SSL du certificat X.509. Pour l’interface utilisateur de sélection, utilisez -clientcertificate.
-config Machine\CAName Autorité de certification et chaîne de nom d’ordinateur.
-fournisseur csp Fournisseur:
KSP - Fournisseur de stockage de clés logicielles Microsoft
TPM - Fournisseur de chiffrement de plateforme Microsoft
NGC - Fournisseur de stockage de clés Microsoft Passport
SC - Fournisseur de stockage de clés de carte à puce Microsoft
-dc DCName Ciblez un contrôleur de domaine spécifique.
-entreprise Utilisez le magasin de certificats du registre d’entreprise de l’ordinateur local.
-f Forcer le remplacement.
-generateSSTFromWU SSTFile Générez SST à l’aide du mécanisme de mise à jour automatique.
-Gmt Afficher les heures à l’aide de GMT.
-GroupPolicy Utilisez le magasin de certificats de stratégie de groupe.
-idispatch Utilisez IDispatch au lieu de méthodes natives COM.
-kerberos Utilisez les informations d’identification SSL Kerberos.
-location alternatestoragelocation (-loc) AlternateStorageLocation.
-Mt Afficher les modèles d’ordinateur.
-nocr Encoder du texte sans caractères CR.
-nocrlf Encoder du texte sans CR-LF caractères.
-nullsign Utilisez le hachage des données comme signature.
-oldpfx Utilisez l’ancien chiffrement PFX.
-out columnlist Liste de colonnes séparées par des virgules.
-p password Mot de passe
-pin Code confidentiel de carte à puce.
-policyserver URLorID URL ou ID du serveur de stratégie. Pour la sélection U/I, utilisez -policyserver. Pour tous les serveurs de stratégie, utilisez -policyserver *
-privatekey Afficher les données de mot de passe et de clé privée.
-protéger Protégez les clés avec mot de passe.
-protectto SAMnameandSIDlist Nom SAM séparé par des virgules/liste SID.
-restrict restrictionlist Liste de restrictions séparées par des virgules. Chaque restriction se compose d’un nom de colonne, d’un opérateur relationnel et d’un entier constant, d’une chaîne ou d’une date. Un nom de colonne peut être précédé d’un signe plus ou moins pour indiquer l’ordre de tri. Par exemple : requestID = 47, +requestername >= a, requesternameou -requestername > DOMAIN, Disposition = 21.
-inverse Colonnes de journal inverse et de file d’attente.
-Secondes Affichage des heures à l’aide de secondes et de millisecondes.
-service Utilisez le magasin de certificats de service.
-Sid SID numérique :
22 - Système local
23 - Service local
24 - Service réseau
-silencieux Utilisez l’indicateur silent pour acquérir le contexte de chiffrement.
-fendre Fractionnez les éléments ASN.1 incorporés et enregistrez-les dans les fichiers.
-sslpolicy servername Stratégie SSL correspondant à ServerName.
-symkeyalg symmetrickeyalgorithm[,keylength] Nom de l’algorithme de clé symétrique avec une longueur de clé facultative. Par exemple : AES,128 ou 3DES.
-syncWithWU DestinationDir Synchroniser avec Windows Update.
-t timeout Délai d’attente d’extraction d’URL en millisecondes.
-Unicode Écrire une sortie redirigée dans Unicode.
-UnicodeText Écrire le fichier de sortie dans Unicode.
-urlfetch Récupérez et vérifiez les certificats AIA et les listes de révocation de certificats CDP.
-utilisateur Utilisez les clés HKEY_CURRENT_USER ou le magasin de certificats.
-nom d’utilisateur Utilisez le compte nommé pour les informations d’identification SSL. Pour l’interface utilisateur de sélection, utilisez -username.
-ut Afficher les modèles utilisateur.
-v Fournissez des informations plus détaillées (détaillées).
-v1 Utilisez des interfaces V1.

Algorithmes de hachage : MD2 MD4 MD5 SHA1 SHA256 SHA384 SHA512.

Pour plus d’exemples d’utilisation de cette commande, consultez les articles suivants :