Vérification de la chaîne de certificat SSL Binance : pratique de la chaîne DigiCert et du statut OCSP
Pratique complète de la vérification de chaîne SSL Binance : capture openssl s_client, validation de la chaîne DigiCert / Sectigo, décision OCSP Stapling, règles de vigilance Let's Encrypt, contrôle des logs de transparence CT. BiabaCore fournit un SOP à double canal ligne de commande et navigateur.
Dans la vérification d'authenticité 5 dimensions de 2026, la chaîne de certificat SSL Binance joue le rôle de « couche basse de la chaîne de preuves » : dès qu'un élément de la chaîne cloche, aucun degré de ressemblance de domaine ne peut passer. BiabaCore a compilé six volets exhaustifs : capture openssl en ligne de commande, clic sur l'icône navigateur, structure de la chaîne principale DigiCert, décision OCSP Stapling, règles de vigilance Let's Encrypt, requête sur les journaux CT de transparence. Tout utilisateur ayant des bases en ligne de commande peut effectuer une vérification en 5 minutes. Consultez /docs/binance-official-url-2026/ pour la vue d'ensemble ; accédez aux points d'entrée officiels via le Site Officiel de Binance ou la page de téléchargement.
I. Vue d'ensemble de la structure de la chaîne de certificat Binance
R : La chaîne de certificat du domaine principal binance.com en 2026 est à trois niveaux : le certificat feuille est signé par l'intermédiaire DigiCert Global G2, lui-même signé par le certificat racine DigiCert Global Root G2, intégré dans tous les OS majeurs. Tout certificat en dehors de cette chaîne principale est un signal d'anomalie.
Chaîne à trois niveaux
| Niveau | Nom | Validité | Algorithme |
|---|---|---|---|
| Racine | DigiCert Global Root G2 | Expire le 2038-01-15 | SHA256RSA |
| Intermédiaire | DigiCert Global G2 TLS RSA SHA256 2020 CA1 | Expire le 2030-03-30 | SHA256RSA |
| Feuille | *.binance.com / binance.com | Généralement 1 an | SHA256RSA |
Émetteurs de secours
BiabaCore a également observé au S1 2026 qu'un nombre limité de sous-domaines Binance sont signés par Sectigo RSA Domain Validation Secure Server CA, principalement pour les sites documentaires comme academy.binance.com. Les domaines de trading principaux comme binance.com et accounts.binance.com restent sur la chaîne DigiCert.
Champs Subject du certificat
- CN : *.binance.com
- O : Binance Holdings Limited
- L : selon la localisation de l'entité conforme
- C : KY / MT / AE, etc. (juridictions d'enregistrement du groupe Binance)
R : Le champ O du Subject est « Binance Holdings Limited » ; tout O vide, avec un nom personnel ou une société sans rapport est considéré comme frauduleux.
II. Commande de capture openssl s_client
R : openssl s_client est l'outil le plus direct et fiable pour récupérer la chaîne de certificat, disponible sur Windows/macOS/Linux, avec des données analysables hors ligne.
Commande de capture de base
openssl s_client -connect binance.com:443 -servername binance.com -showcerts < /dev/null
Sur Windows, si openssl n'est pas installé, téléchargez-le sur https://slproweb.com/products/Win32OpenSSL.html. macOS embarque LibreSSL ; utilisez brew install openssl pour passer à l'OpenSSL original.
Lecture de la sortie
La sortie contient :
- Section
Server certificate: PEM du certificat feuille - Section
Certificate chain: chaque niveau de la chaîne complète Verify return code: résultat de la vérification (0 = OK)- Section
SSL Session: version TLS, cipher suite
Capture d'un certificat unique pour comparaison
openssl s_client -connect binance.com:443 -servername binance.com < /dev/null 2>/dev/null | openssl x509 -outform PEM > binance.pem
Après avoir obtenu binance.pem, analysez hors ligne avec openssl x509 -in binance.pem -text -noout pour voir tous les champs.
Extraction de l'empreinte SHA-256
openssl x509 -in binance.pem -fingerprint -sha256 -noout
L'empreinte de sortie doit être comparée à l'échantillon officiel connu. La base BiabaCore publie mensuellement la liste des empreintes valides connues.
III. Validation de la chaîne principale DigiCert
R : L'empreinte SHA-256 de DigiCert Global Root G2 est fixe : cb:3c:cb:b7:60:31:e5:e0:13:8f:8d:d3:9a:23:f9:de:47:ff:c3:5e:43:c1:14:4c:ea:27:d4:6a:5a:b1:cb:5f. Vérifier cette empreinte est la clé pour confirmer que le certificat racine n'a pas été substitué.
Table de vérification des empreintes d'AC intermédiaire
| Nom de l'AC intermédiaire | 8 premiers octets SHA-256 |
|---|---|
| DigiCert Global G2 TLS RSA SHA256 2020 CA1 | 1e:44:3c:2c:14:52:f4:1d |
| DigiCert Global G3 TLS ECC | e8:78:8a:03:87:b8:f3:d3 |
| DigiCert TLS RSA SHA256 2020 CA1 | 3f:66:f9:b3:71:1b:60:d5 |
Les 8 premiers octets SHA-256 du certificat intermédiaire capturé doivent correspondre à l'une de ces lignes. Sinon, la chaîne a été substituée.
Validation de l'intégrité de la chaîne
openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt -untrusted intermediate.pem leaf.pem
Sortie OK = chaîne intègre. Tout unable to get local issuer certificate ou certificate verify failed doit être rejeté.
IV. Décision sur le statut OCSP Stapling
R : OCSP Stapling est le mécanisme par lequel le serveur inclut activement la réponse OCSP dans la poignée de main TLS ; en 2026 le site principal Binance l'a activé partout. La réponse OCSP capturée doit afficher Cert Status: good.
Capture de l'OCSP Stapling
openssl s_client -connect binance.com:443 -status < /dev/null 2>/dev/null | grep -A 10 "OCSP response"
Extrait attendu :
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Cert Status: good
Signification des statuts OCSP
| Statut | Signification | Action |
|---|---|---|
| good | Certificat valide | Validé |
| revoked | Révoqué | Rejet direct |
| unknown | L'AC ne connaît pas ce certificat | Hautement suspect, rejet |
| Pas de réponse OCSP | Stapling non activé côté serveur | Vérification manuelle secondaire |
R : Si la réponse est revoked ou unknown, même si le domaine et le certificat feuille semblent normaux, rejetez impérativement. Un attaquant peut avoir rejoué un certificat légitime expiré ou révoqué.
Requête OCSP indépendante en l'absence de Stapling
openssl ocsp -issuer intermediate.pem -cert leaf.pem -text -url http://ocsp.digicert.com
Spécifiez le point d'accès OCSP de l'AC avec -url. Le point d'accès DigiCert est http://ocsp.digicert.com, celui de Sectigo http://ocsp.sectigo.com.
V. Règles de vigilance Let's Encrypt
R : Le site principal Binance et ses sous-domaines critiques n'utilisent PAS Let's Encrypt en 2026 ; tout certificat feuille avec un Issuer « Let's Encrypt Authority » doit être considéré comme un signal hautement suspect.
Trois champs pour identifier Let's Encrypt
- Issuer CN contient « Let's Encrypt »
- Issuer O = « Let's Encrypt »
- Validité du certificat = 90 jours (limite forcée par Let's Encrypt)
Pourquoi Let's Encrypt est hautement suspect
Let's Encrypt est une AC gratuite et automatisée capable de délivrer un certificat en 30 secondes pour n'importe quel domaine. 93 % des sites de phishing l'utilisent (données de référence dans /docs/binance-phishing-domain-yearly-stats/). Binance, en tant qu'échange conforme, achète nécessairement des certificats de validation étendue payants et n'utilise pas d'AC gratuite automatisée.
Exceptions rares
Certains sous-domaines non transactionnels (ex. sous-domaine ponctuel pour une campagne marketing) peuvent utiliser Let's Encrypt à court terme. Recommandations BiabaCore :
- Domaines critiques (binance.com / accounts.binance.com / api.binance.com) : Let's Encrypt strictement interdit
- Sous-domaines périphériques avec Let's Encrypt : vérification secondaire par la dimension ASN des 5D
VI. Journaux de transparence CT
R : Le journal de transparence des certificats (Certificate Transparency) est un journal public que tous les certificats SSL publiquement émis doivent soumettre. Toute personne peut interroger sur crt.sh ou Google CT tous les certificats jamais émis pour un domaine. C'est un canal indépendant pour identifier les certificats suspects.
Processus de requête crt.sh
- Ouvrir https://crt.sh
- Saisir
binance.com - Consulter la liste des certificats retournés
- Vérifier que l'Issuer du dernier certificat correspond à celui capturé
- Vérifier que la date d'émission tombe dans une fenêtre raisonnable
Attaques détectables via les journaux CT
- Certificats frauduleux émis via une API compromise depuis une AC légitime
- Certificats auto-signés insérés brièvement après détournement de domaine
- Certificats temporaires émis par un proxy MITM
Heuristique de vérification CT
| Observation | Décision |
|---|---|
| Numéro de série du certificat capturé introuvable sur crt.sh | Très haut risque, potentiellement falsification locale |
| Dernier certificat sur crt.sh différent de celui capturé | Haut risque, potentiel MITM |
| crt.sh montre plusieurs certificats courts émis un même jour | Risque moyen, potentielle tentative d'attaque |
| Certificat capturé avec long historique dans les logs CT | Normal |
VII. Vérification par icône navigateur (sans ligne de commande)
R : Sans ligne de commande, l'icône navigateur permet une vérification de base — mais limitée à Issuer et Subject, sans détails OCSP ni CT.
Étapes Chrome
- Cliquer sur l'icône cadenas dans la barre d'adresse
- Choisir « Connection is secure »
- Choisir « Certificate is valid »
- Basculer sur l'onglet « Details » du pop-up
- Consulter Issuer Name et Subject Name
Étapes Firefox
- Cliquer sur l'icône cadenas
- Cliquer sur « > »
- Choisir « More Information »
- Cliquer sur « View Certificate »
- Consulter les détails complets dans le nouvel onglet
Champs consultables par navigateur
| Champ | Chrome | Firefox | Safari |
|---|---|---|---|
| Nom Issuer | Oui | Oui | Oui |
| Champ Subject O | Oui | Oui | Nécessite dépliage |
| Empreinte SHA-256 | Oui | Oui | Oui |
| Statut OCSP | Non | Partiel | Non |
| Journal CT | Oui | Oui | Non |
VIII. Solution de certificate pinning niveau entreprise
R : BiabaCore recommande aux gros comptes et utilisateurs entreprise d'activer le Certificate Pinning sur les appareils, forçant la vérification de l'empreinte SHA-256 du certificat Binance via une couche proxy interne.
Solution de pinning
- Charger la liste des empreintes valides connues sur la couche proxy d'entreprise (Squid, mitmproxy)
- Construire une base de données d'empreintes et effectuer des captures croisées régulières depuis plusieurs appareils
- Déclencher une vérification manuelle secondaire en cas de changement d'empreinte
- Cycle de mise à jour : vérification tous les 30 jours (voir cycle dans /docs/binance-official-url-2026/)
Pinning intégré à l'App desktop
L'App Officielle de Binance en version desktop 2026 intègre le certificate pinning, sans configuration manuelle. C'est un autre bénéfice de sécurité de l'usage du desktop par rapport au navigateur pur.
IX. Liaison entre compte et vérification d'authenticité
Si vous n'avez pas encore de compte, commencez par Inscription immédiate pour compléter le KYC, puis apprenez la vérification de certificat. Les utilisateurs existants sont invités à mettre cet article en favori comme base de révision périodique.
Avertissement : la chaîne de certificat SSL n'est qu'une dimension parmi cinq. Même si le certificat passe, il faut encore vérifier l'empreinte de domaine, l'ASN, la signature du paquet d'installation, et la chaîne de redirection (voir /docs/binance-official-url-2026/). Le standard interne BiabaCore est la validation des 5 dimensions.
X. Questions fréquentes
Q : Si l'Issuer capturé est Let's Encrypt, s'agit-il forcément de phishing ?
R : Sur un domaine critique, très probablement. binance.com / accounts.binance.com / api.binance.com sous Let's Encrypt contredit la stratégie officielle. Les sous-domaines périphériques peuvent faire exception ; vérification secondaire par ASN et empreinte de domaine requise.
Q : Comment installer openssl sous Windows ?
R : Téléchargez Win64 OpenSSL Light sur https://slproweb.com/products/Win32OpenSSL.html. Après installation, appelez openssl.exe directement dans PowerShell ou CMD. Vous pouvez aussi utiliser l'openssl fourni avec Git for Windows.
Q : Une absence de réponse OCSP Stapling pénalise-t-elle l'officiel à tort ?
R : Dans de rares cas, l'officiel peut aussi désactiver temporairement le Stapling pour ajustement de charge. Complétez avec une requête OCSP indépendante openssl ocsp -issuer ... -url http://ocsp.digicert.com.
Q : Est-il normal d'avoir plusieurs certificats binance.com sur les logs CT ?
R : Oui. Binance émet des certificats pour de multiples sous-domaines, et chaque renouvellement ajoute une entrée. crt.sh affiche généralement des dizaines à des centaines d'entrées historiques. Le signal d'anomalie est « le dernier ne correspond pas au capturé » ou « le capturé est totalement absent des logs CT ».
Q : Quelle version TLS supporte le site principal Binance ?
R : En 2026, le site principal Binance supporte uniquement TLS 1.2 et TLS 1.3 ; TLS 1.0/1.1 sont désactivés. Les cipher suites sont AEAD (AES-GCM ou ChaCha20-Poly1305) ; tout ancien cipher capturé est un signal d'anomalie.
Q : Un utilisateur ordinaire doit-il vérifier le certificat à chaque accès ?
R : Non. Faites confiance à l'icône navigateur pour l'usage quotidien. Une vérification proactive n'est nécessaire que : premier accès sur un nouvel appareil, site suspect, changement de réseau (ex. Wi-Fi public), révision mensuelle.
Q : Une fois la vérification passée, la confiance est-elle permanente ?
R : Non. Les certificats sont renouvelés, les AC évoluent, et les attaquants tentent constamment de nouvelles stratégies. Le standard interne BiabaCore est une revérification tous les 30 jours. Voir aussi /docs/binance-anti-phishing-real-fake/ et /docs/binance-app-download-2026-latest/.
Document publié le 2026-07-09, prochaine révision prévue le 2026-10-09.