Vérifier une attestation
Collez le fichier d'attestation qu'on vous a remis. Sa signature est vérifiée ici, dans votre navigateur — le document n'est envoyé nulle part, et vous n'avez besoin de faire confiance à personne pour le contrôler.
Ce que cette vérification prouve — et ce qu'elle ne prouve pas
Elle prouve que le document n'a pas été modifié depuis sa signature, et qu'il a été signé par la clé qui y figure. Si une seule lettre du manifeste change, la signature ne correspond plus.
Elle ne prouve pas que l'attestation tient encore.
Une attestation est adossée à l'empreinte de l'inventaire du site : le premier fichier qui change
la rompt. Pour savoir si elle tient toujours aujourd'hui, il faut re-parcourir le site —
ce qu'un navigateur ne peut pas faire. C'est ce que fait la commande
outils/verifier-attestation.mjs.
Et elle ne dit rien de la clé elle-même. Vérifiez que l'empreinte de clé publique affichée est bien celle que vous attendiez de votre prestataire : n'importe qui peut signer un document avec sa propre clé.