Le certificat SSL est l'indicateur objectif le plus fiable pour identifier le véritable site officiel de Binance — l'orthographe peut être imitée, les pages peuvent être clonées, mais le certificat ne peut pas être falsifié. Le site principal de Binance utilise un certificat de Validation Étendue (EV) émis par DigiCert Inc, dont le champ Subject contient l'entité réelle « BINANCE HOLDINGS LIMITED ». Les sites frauduleux utilisent presque tous des certificats gratuits Let's Encrypt et ne peuvent pas passer la certification EV. Pour juger rapidement de l'authenticité d'un domaine, accédez au Site officiel de Binance et comparez-le avec l'empreinte du certificat répertoriée dans cet article. Si vous ne souhaitez pas effectuer de vérification technique, téléchargez l'App officielle de Binance pour passer par le canal interne de l'application, ce qui est le plus sûr. Cet article présente deux méthodes de vérification, via le navigateur et en ligne de commande, chacune réalisable en moins de 20 secondes.
I. Concepts de base du certificat SSL
Les trois niveaux de validation des certificats
Les certificats TLS/SSL sont classés en trois niveaux selon la rigueur de la vérification :
| Niveau | Abréviation | Contenu de la vérification | Délai de délivrance | Usage typique |
|---|---|---|---|---|
| Validation de Domaine | DV | Prouve uniquement la possession du domaine | Quelques minutes | Sites personnels, petites entreprises |
| Validation d'Organisation | OV | Domaine + Informations commerciales de l'entreprise | 3-5 jours | Sites d'entreprises moyennes |
| Validation Étendue | EV | Domaine + Identité réelle du représentant légal | 7-10 jours | Finance / Sites officiels de grands groupes |
Le site principal de Binance et accounts.binance.com utilisent tous des certificats de niveau EV. Le coût de demande d'un certificat EV est de 200 à 600 USD par an et nécessite un audit commercial complet + une vérification d'identité. Les sites frauduleux ne paieront pas cette somme ; c'est une barrière infranchissable.
Champs clés du certificat
- Subject (Sujet) : Informations sur le détenteur du certificat, incluant le CN (Common Name), l'O (Organization) et le C (Country) ;
- Issuer (Émetteur) : L'autorité de certification (CA) qui a émis le certificat ;
- Valid From / To : Période de validité du certificat ;
- Serial Number : Numéro de série unique du certificat ;
- Signature Algorithm : Généralement sha256WithRSAEncryption ou ecdsa-with-SHA384 ;
- SAN (Subject Alternative Name) : Liste des domaines supplémentaires couverts par le certificat.
II. Méthode de consultation via le navigateur
Chrome / Edge
- Accédez à
https://www.binance.com; - Cliquez sur l'icône 🔒 (cadenas) à l'extrême gauche de la barre d'adresse ;
- Dans la fenêtre contextuelle, choisissez « La connexion est sécurisée » ;
- Cliquez sur « Le certificat est valide » ;
- Consultez la période de validité et l'objet de l'émission dans l'onglet « Général » ;
- Basculez sur « Détails » pour voir le numéro de série, l'empreinte et tous les autres champs.
Firefox
- Cliquez sur l'icône 🔒 dans la barre d'adresse ;
- Cliquez sur la flèche à droite de « Connexion sécurisée » ;
- Cliquez sur « Plus d'informations » ;
- Dans la page qui s'affiche, choisissez l'onglet « Sécurité » ;
- Cliquez sur « Afficher le certificat » pour accéder à la vue complète des champs.
Safari (macOS)
- Cliquez sur l'icône 🔒 dans la barre d'adresse ;
- Cliquez sur « Afficher le certificat » ;
- Développez le triangle pour voir les détails du certificat ;
- Vous pouvez l'exporter en tant que fichier .cer pour une sauvegarde locale.
Référence des champs du certificat officiel de Binance (Avril 2026)
- Subject CN :
*.binance.com - Subject O :
Binance Holdings Limited - Subject C :
VG(Îles Vierges britanniques) - Issuer :
DigiCert TLS RSA SHA256 2020 CA1 - Période de validité : Généralement renouvelé par roulement de 13 mois
- Longueur de clé : RSA 2048 bits ou ECC 256 bits
- SAN inclus : binance.com, *.binance.com, accounts.binance.com, etc.
Si le champ Subject O est « Binance Holdings Limited », vous pouvez être pratiquement certain qu'il s'agit du site officiel. Les sites frauduleux ne peuvent absolument pas écrire ce champ, car un certificat EV nécessite des justificatifs commerciaux.
III. Méthodes de vérification en ligne de commande
Méthode 1 : openssl s_client
L'outil de bas niveau le plus standard. Commande :
openssl s_client -connect www.binance.com:443 -servername www.binance.com -showcerts
La sortie contient la chaîne de certification complète (Certificat serveur → CA intermédiaire → CA racine). Vérifiez les champs clés :
subject=C = VG, O = Binance Holdings Limited, CN = *.binance.com
issuer=C = US, O = DigiCert Inc, CN = DigiCert TLS RSA SHA256 2020 CA1
Méthode 2 : Consulter la période de validité
openssl s_client -connect www.binance.com:443 -servername www.binance.com < /dev/null 2>/dev/null \
| openssl x509 -noout -dates
Exemple de sortie :
notBefore=Apr 10 00:00:00 2025 GMT
notAfter=Apr 15 23:59:59 2026 GMT
Si le champ notAfter est expiré ou si la validité est de moins de 90 jours, il s'agit très probablement d'un site frauduleux (caractéristique des certificats Let's Encrypt).
Méthode 3 : Calculer l'empreinte du certificat
L'empreinte SHA-256 est l'identifiant unique du certificat ; tout changement dans le contenu du certificat modifiera l'empreinte :
openssl s_client -connect www.binance.com:443 -servername www.binance.com < /dev/null 2>/dev/null \
| openssl x509 -noout -fingerprint -sha256
Sortie :
sha256 Fingerprint=XX:XX:XX:...:XX
Comparez cette empreinte avec l'empreinte officielle publiée sur le Site officiel de Binance. Si elles correspondent, c'est le vrai site.
Méthode 4 : Analyser la liste SAN
openssl s_client -connect www.binance.com:443 -servername www.binance.com < /dev/null 2>/dev/null \
| openssl x509 -noout -text \
| grep -A 1 "Subject Alternative Name"
Le champ SAN répertorie tous les sous-domaines couverts par le certificat. Le certificat de Binance en contient des dizaines liés à binance, alors que les sites frauduleux n'inscrivent généralement que leur propre domaine.
IV. Vérification via les journaux de Transparence des Certificats (CT)
Qu'est-ce que les journaux CT ?
La Certificate Transparency est un mécanisme d'audit public promu par Google. Tous les émetteurs de certificats de confiance publique doivent soumettre des enregistrements aux journaux CT lors de l'émission d'un certificat. Les utilisateurs peuvent consulter tous les certificats historiques de n'importe quel domaine.
Méthode de consultation
Consultez crt.sh : https://crt.sh/?q=binance.com
La page de résultats affiche tous les certificats historiques de binance.com, incluant :
- Le numéro de série du certificat
- La date d'émission
- La date d'expiration
- L'autorité CA émettrice
- La liste SAN
Comment détecter un site frauduleux via les journaux CT ?
- Recherchez le domaine du site frauduleux (ex:
crt.sh/?q=bineance.com) ; - Regardez le nombre d'enregistrements d'émission — des centaines pour le vrai Binance, généralement 1 ou 2 pour un site frauduleux ;
- Regardez la date d'émission — continue depuis 2017 pour Binance, souvent apparue seulement dans les 30 à 90 derniers jours pour un site frauduleux ;
- Regardez l'émetteur CA — principalement DigiCert pour Binance, souvent Let's Encrypt pour les fraudeurs.
Les journaux CT sont des enregistrements publics indélébiles, constituant la source la plus fiable pour juger de l'historique d'un domaine.
V. OCSP et vérification de révocation
Réponse OCSP
L'Online Certificate Status Protocol est utilisé pour vérifier si un certificat a été révoqué. Les navigateurs effectuent par défaut une vérification OCSP, mais elle ne réussit pas toujours.
Consultation en ligne de commande :
openssl ocsp -issuer /chemin/vers/emetteur.crt -cert /chemin/vers/cert.crt \
-url http://ocsp.digicert.com
Liste de révocation CRL
Certaines autorités CA publient des fichiers CRL (Certificate Revocation List). Vous pouvez les télécharger et rechercher le numéro de série du certificat cible.
La plupart des utilisateurs n'ont pas besoin d'effectuer activement de vérification OCSP, le navigateur s'en occupant automatiquement. L'important est que le navigateur n'affiche pas d'avertissement de certificat.
VI. Vérification de l'intégrité de la chaîne de certification
Qu'est-ce qu'une chaîne de certification ?
Chaîne de confiance du navigateur :
Certificat racine CA (DigiCert Global Root CA, préinstallé dans le système d'exploitation)
↓
Certificat intermédiaire CA (DigiCert TLS RSA SHA256 2020 CA1)
↓
Certificat serveur (*.binance.com)
Si un niveau est manquant ou si une signature ne correspond pas, le navigateur affichera « NET::ERR_CERT_AUTHORITY_INVALID ».
Vérification de l'intégrité de la chaîne
openssl s_client -connect www.binance.com:443 -servername www.binance.com < /dev/null 2>/dev/null \
| openssl verify -untrusted /chemin/vers/intermediaire.crt
Ou utilisez l'outil en ligne ssllabs.com/ssltest/, saisissez le domaine pour une évaluation complète de niveau A+. Le site principal de Binance maintient une note stable de A ou A+ sur SSL Labs.
VII. Liste de vérification complète (réalisable en 20 secondes)
Version rapide (3 étapes via le navigateur)
- Accédez au domaine cible ;
- Cliquez sur l'icône 🔒 pour voir le certificat ;
- Confirmez que Subject O = « Binance Holdings Limited » et que l'Émetteur (Issuer) inclut DigiCert ;
Si les trois points sont corrects → Vrai site ; si l'un ne correspond pas → Forte probabilité de fraude.
Version approfondie (7 étapes via la ligne de commande)
DOMAIN=www.binance.com
echo "1. Résolution DNS"
dig +short $DOMAIN
echo "2. Connexion TLS"
curl -I --connect-timeout 5 https://$DOMAIN
echo "3. Subject du certificat"
openssl s_client -connect $DOMAIN:443 -servername $DOMAIN < /dev/null 2>/dev/null \
| openssl x509 -noout -subject
echo "4. Issuer du certificat"
openssl s_client -connect $DOMAIN:443 -servername $DOMAIN < /dev/null 2>/dev/null \
| openssl x509 -noout -issuer
echo "5. Période de validité"
openssl s_client -connect $DOMAIN:443 -servername $DOMAIN < /dev/null 2>/dev/null \
| openssl x509 -noout -dates
echo "6. Empreinte"
openssl s_client -connect $DOMAIN:443 -servername $DOMAIN < /dev/null 2>/dev/null \
| openssl x509 -noout -fingerprint -sha256
echo "7. Consultation des journaux CT"
curl -s "https://crt.sh/?q=$DOMAIN&output=json" | head -1
Enregistrez ce script sous verify-binance.sh et lancez bash verify-binance.sh pour effectuer toutes les vérifications en un clic.
VIII. Anomalies courantes et diagnostic
Anomalie 1 : Certificat Let's Encrypt
- Symptôme : L'émetteur (Issuer) est « R3 » ou « R10 » ;
- Diagnostic : Le site officiel de Binance n'utilise absolument pas Let's Encrypt ;
- Exception : Certains miroirs régionaux à faible trafic peuvent l'utiliser temporairement, mais pas les domaines d'entrée officiels.
Anomalie 2 : Certificat auto-signé
- Symptôme : Le navigateur affiche « NET::ERR_CERT_AUTHORITY_INVALID » ;
- Diagnostic : Site 100% frauduleux ou attaque MITM ;
- Action : Fermez immédiatement l'onglet, ne cliquez pas sur « Continuer quand même ».
Anomalie 3 : Certificat expiré
- Symptôme : Le navigateur affiche « NET::ERR_CERT_DATE_INVALID » ;
- Diagnostic : Il peut s'agir du vrai Binance mais avec une erreur de maintenance (très rare), ou bien l'heure de votre système local est incorrecte ;
- Action : Vérifiez l'heure du système ; si elle est correcte, c'est une fraude.
Anomalie 4 : Certificat contenant des domaines supplémentaires
- Symptôme : Le champ SAN contient d'autres sites web sans rapport avec binance ;
- Diagnostic : Certains certificats gratuits sont émis conjointement pour plusieurs clients, ou il s'agit d'une erreur de configuration CDN partagé ;
- Action : Vérifiez à nouveau si Subject O est « Binance Holdings Limited » ; si ce n'est pas le cas, ne faites pas confiance.
Anomalie 5 : Résolution DNS vers une IP privée
- Symptôme :
nslookuprenvoie 192.168.x.x / 10.x.x.x / 127.0.0.1 ; - Diagnostic : Détournement DNS ou fichier hosts altéré ;
- Action : Vérifiez le fichier hosts (Windows :
C:\Windows\System32\drivers\etc\hosts; macOS/Linux :/etc/hosts) et supprimez les entrées anormales.
IX. Configuration de l'épinglage de certificat (Certificate Pinning)
Qu'est-ce que l'épinglage de certificat ?
Le Pinning consiste à coder en dur l'empreinte d'un certificat spécifique dans le client. Ainsi, même si un attaquant détient un « faux » certificat émis par une autorité CA légitime, il sera rejeté.
HPKP est obsolète
Le HTTP Public Key Pinning (HPKP) a été abandonné dans Chrome 72 (2019) en raison du risque de rendre un site inaccessible de manière prolongée par erreur de configuration. Les navigateurs modernes ne le supportent plus.
Pinning au niveau applicatif
L'épinglage peut être réalisé à l'intérieur des applications iOS / Android :
- iOS : Utilisation de la bibliothèque TrustKit pour fixer le certificat ;
- Android : Configuration
<pin>dans le XML Network Security Config ; - Electron (Mac/Win) : Vérification dans
app.on('certificate-error').
L'App officielle de Binance implémente le Pinning en interne. Ainsi, même si votre appareil subit une attaque MITM, l'application ne fera pas confiance à un faux certificat. C'est l'une des raisons pour lesquelles passer par l'App est plus sûr que par le navigateur.
Injection de certificat en environnement d'entreprise
Certains réseaux d'entreprise peuvent injecter leur propre certificat racine CA via des stratégies AD pour déchiffrer et auditer le trafic des employés. Dans ce cas, l'émetteur (Issuer) affiché par le navigateur sera l'autorité CA de l'entreprise et non DigiCert. Si vous accédez à Binance depuis votre lieu de travail, il est recommandé de basculer sur le réseau 4G de votre téléphone personnel pour éviter que vos identifiants ne soient enregistrés dans les journaux d'audit de l'entreprise.
X. Sauvegarde et archivage des certificats
Exporter un certificat
Chrome : Fenêtre du certificat → Détails → Exporter → Enregistrer sous .cer ou .pem.
Firefox : Permet directement l'affichage et la copie du texte PEM.
Ligne de commande :
openssl s_client -connect www.binance.com:443 -servername www.binance.com < /dev/null 2>/dev/null \
| openssl x509 > binance-cert-2026.pem
Intérêt de la sauvegarde
- Comparaison future : Si un jour le certificat de Binance est renouvelé, vous pourrez comparer l'empreinte historique pour confirmer s'il s'agit d'un renouvellement normal ou d'un détournement ;
- Consultation d'urgence : En temps normal, un certificat est valide 13 mois et est renouvelé une semaine avant expiration ;
- Preuve médico-légale : En cas d'attaque par phishing, conserver des preuves peut aider lors d'éventuelles poursuites ultérieures.
Questions fréquentes FAQ
Q1 : Pourquoi certains miroirs de Binance n'utilisent-ils pas DigiCert ?
R : Certains miroirs (comme binance.info, binance.bz) passent par le CDN Cloudflare, et le certificat est émis par Cloudflare. C'est normal. L'important est de vérifier que le Subject CN contient le mot « binance » et que l'organisme émetteur est Cloudflare Inc (et non Let's Encrypt). Consultez le Site officiel de Binance pour voir la liste actuelle des miroirs officiels utilisables.
Q2 : À quelle fréquence l'empreinte du certificat change-t-elle ?
R : Elle change à chaque renouvellement du certificat. Les certificats DigiCert EV sont généralement renouvelés tous les 13 mois, générant une nouvelle empreinte à chaque fois. Vous ne devez donc pas coder l'empreinte en dur dans vos scripts, mais synchroniser régulièrement la dernière empreinte. Ce site met à jour la nouvelle empreinte sur la page d'accueil lors de chaque renouvellement.
Q3 : Que faire si mon navigateur indique que le certificat n'est pas sûr ?
R : Trois raisons possibles : (1) Le certificat lui-même pose problème (fraude) ; (2) L'heure de votre système est incorrecte (activez la synchronisation automatique de l'heure) ; (3) Interception par un proxy d'entreprise (basculez sur un réseau personnel). Après avoir exclu les points 2 et 3, si l'avertissement persiste, il s'agit très probablement d'un site frauduleux.
Q4 : L'application mobile affiche-t-elle les informations du certificat ?
R : Non. L'application utilise un mécanisme interne de Pinning de certificat et n'expose pas les détails du certificat à l'extérieur. Cependant, le mécanisme de confiance de l'App est plus strict que celui du navigateur — si le certificat est anormal, la connexion sera directement coupée, sans vous proposer l'option « Continuer quand même ».
Q5 : Pourquoi le certificat EV est-il important ?
R : Un certificat EV nécessite une vérification réelle de l'entreprise par l'autorité CA, un processus qui dure 7 à 10 jours. Un site frauduleux ne peut pas utiliser ses propres informations d'entreprise réelles pour une demande EV (sous peine de poursuites), et des informations fictives ne passeraient pas l'audit de la CA. Ainsi, le champ « Subject O = Binance Holdings Limited » est une marque impossible à falsifier.
Envie d'en savoir plus sur les mécanismes de sécurité de Binance ? Consultez 5 caractéristiques clés pour identifier un site de phishing Binance. Retournez à la Navigation par catégorie ou parcourez Tous les tutoriels pour en savoir plus.