Mise à jours certificats ?

Bonjour,
j'aimerais faire un petit programme en java qui détecte l'expiration d'un certificat SSL et surtout savoir si le certificat a été modifié, car certains certificats peuvent être mis à jours avant leurs date d'expiration.
comment récupérer le certificat et surtout savoir si elle a été changé?
et d'ailleurs est ce que vous connaissez des outils qui font ça?

merci pour votre aide.

admettons que j'ai un certificat ssl comment dois-je faire en java pour que je puisse extraire la date d'expiration de ce certificat.

merci pour votre aide
Glas.

Salut,

Je pense que tu devrais regarder la classe X509Certificate du JDK. Tu as toutes les méthodes pour accéder aux attributs de ton certificat. Pour obtenir un objet X509Certificate à partir d'un flux d'entrée, regarde la classe CertificateFactory

Citation:

---

Envoyé par George7

Salut,

Je pense que tu devrais regarder la classe X509Certificate du JDK. Tu as toutes les méthodes pour accéder aux attributs de ton certificat. Pour obtenir un objet X509Certificate à partir d'un flux d'entrée, regarde la classe CertificateFactory

---

merci George7,
je vais voir tout ça

je sais maintenant comment lire la date de création et d'expiration du certificat. par contre je suis bloqué sur comment charger un certificat à partir d'un lien web distant!
any ideas?

merci

Et bien c'est plutôt simple. Tu as un lien surement en http, tu fais un get en java sur cette adresse, tu récupères le flux de la réponse et tu utilises la classe dont je t'ai parlé dans ma précédente réponse. Tu trouveras pas mal de ressources sur le web pour faire une requête GET en Java, mais je te conseille d'utiliser HTTPClient de Apache qui simplifie grandement la vie !

j'arrive toujours pas à loader mon certificat avec java.

voila ce que j'ai fait

Code:

---

1 2 3

RL test = new URL("https://www...../crl_web.crl"); URLConnection oConnexion = test.openConnection(); BufferedReader otest = new BufferedReader(new InputStreamReader(oConnexion.getInputStream()));

---

comment dois je faire pour copier ce certificat en local pour que je puis le handler après.

merci bcp.
Glas

Citation:

---

Envoyé par glasgow

j'arrive toujours pas à loader mon certificat avec java.

voila ce que j'ai fait

Code:

---

1 2 3

RL test = new URL("https://www...../crl_web.crl"); URLConnection oConnexion = test.openConnection(); BufferedReader otest = new BufferedReader(new InputStreamReader(oConnexion.getInputStream()));

---

comment dois je faire pour copier ce certificat en local pour que je puis le handler après.

merci bcp.
Glas

---

As-tu regardé mon lien sur les CertificateFactory donné au dessus ? Il y aun exemple avec un InputStream, ce que tu as. Ensuite si tu as des doutes, la documentation de la méthode generateCertificate devrait vraiment t'aider...

Citation:

---

Envoyé par George7

As-tu regardé mon lien sur les CertificateFactory donné au dessus ? Il y aun exemple avec un InputStream, ce que tu as. Ensuite si tu as des doutes, la documentation de la méthode generateCertificate devrait vraiment t'aider...

---

merci George,
malheureusement je n'ai pas beaucoup de temps à consacrer au développement, c'est une effort personnel pour apprendre java.
merci pour votre aide et de votre suivie.
voila j'essai de me connecter à un certificat ssl sur un lien https.
puis de manipuler ce certificat.
suite à votre conseil, j'ai regardé coté CertificateFactory , mais je suis bloqué sur une erreur de compilation, peut être vous avez une idée sur comment surmonter cet obstacle.

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

public static void main(String[] args) { try {     URL test = new URL("https://zzzzzzzzzz"); URLConnection yc = test.openConnection(); CertificateFactory certificatefactory = CertificateFactory.getInstance("X.509"); X509Certificate x509certificate = (X509Certificate) certificatefactory.generateCertificate(yc.getInputStream()); System.out.println(x509certificate.getNotBefore()); System.out.println(x509certificate.getNotAfter()); } catch (Exception e) { e.printStackTrace(); }   }

---

et voila l'erreur.

Code:

---

1 2 3 4

java.io.IOException: Server returned HTTP response code: 502 for URL: https://zzzzzzzz at sun.net.www.protocol.http.HttpURLConnection.getInputStream(Unknown Source) at sun.net.www.protocol.https.HttpsURLConnectionImpl.getInputStream(Unknown Source) at ssl.certificat.com.URLConnectionReader.main(URLConnectionReader.java:22)

---

merci encore.
Gls

Cette erreur est un erreur HTTP (Bad gateway), pas java. Il faut chercher si ton server est bien configuré !

en fait, je n'ai pas un serveur à configurer j'essaie tout simplement de me connecter sur un web service, https://webservices....,
pour récupérer le certificat fournit par ce webservice.
d'ailleurs quand je passe par un navigateur, je récupère ce certificat facilement.
mais mon objectif et de le récupérer via un programme java.

comment je fais pour faire marcher mon code SVP.

merci
Gls

Tu n'as peut être pas le lien direct sur l'url que tu passes en paramètre de ton appli alors que ton navigateur gère des redirections à partir de l'URL de base.

En d'autres termes, il te faut le lien direct vers le fichier .cer. Passer l'adresse du site ne suffit. Quel est l'adresse exacte que tu donnes ?

Un certificat est un groupe d'infos publiques. Donner l'adresse ici ne pose aucun problème.

Citation:

---

Envoyé par Marco46

Tu n'as peut être pas le lien direct sur l'url que tu passes en paramètre de ton appli alors que ton navigateur gère des redirections à partir de l'URL de base.

En d'autres termes, il te faut le lien direct vers le fichier .cer. Passer l'adresse du site ne suffit. Quel est l'adresse exacte que tu donnes ?

Un certificat est un groupe d'infos publiques. Donner l'adresse ici ne pose aucun problème.

---

merci Macro pour ta réponse,
j'ai une autre question en fait.
ce que je cherchais depuis le début c'est de loader un certificat avec java puis LE récupérer s'il a été mis à jours?

mais est ce que c'est possible de récupérer le certificat dynamiquement à chaque requête et l'installer dans le keystor.
ainsi on rencontre plus ce genre de problème lié à la mise à jours d'un certificat avant sa date d'expiration.


merci à George aussi pour son suivie jusqu’à maintenant

Gls

Une question m'interroge : quel est ton but final ?
Si tu souhaites enregistrer le certificat ssl du server pour vérification, ne vaudrait-il pas mieux enregistrer seulement le certificat de la CA qui émet les certificats de ce server ? C'est plus l'idée des PKI comme approche. Un certificat de CA expire en général tous les 10 ans et est bien plus stable qu'un certificat server, ça t'éviterait de devoir faire cette opération trop souvent.
Sinon tu peux bien sûr télécharger le certificat et l'ajouter dans ton keystore, mais tu auras ce problème que tu ne reçois pour le moment aucune certificat avec ton code, et on en revient à la demande de Marco :)

Citation:

---

Envoyé par George7

Une question m'interroge : quel est ton but final ?
Si tu souhaites enregistrer le certificat ssl du server pour vérification, ne vaudrait-il pas mieux enregistrer seulement le certificat de la CA qui émet les certificats de ce server ? C'est plus l'idée des PKI comme approche. Un certificat de CA expire en général tous les 10 ans et est bien plus stable qu'un certificat server, ça t'éviterait de devoir faire cette opération trop souvent.
Sinon tu peux bien sûr télécharger le certificat et l'ajouter dans ton keystore, mais tu auras ce problème que tu ne reçois pour le moment aucune certificat avec ton code, et on en revient à la demande de Marco :)

---

si en fait j'arrive à lire maintenant les info de mon certificat en utilisant

Code:

---

X509Certificate[] allCerts = getCertificatsInfos(urlPath);

---

sauf que mon url renvois plusieurs certificats (https://particuliers.secure.lcl.fr/index.html) et je ne sais pas d'ailleurs le quel est bon..
quand à la question sur mon but final? -: ) faut savoir que mon objectif a beaucoup évolué au fur et à mesure de notre discussion.
avant l'objectif c'était de monitorer des certificats, pour savoir si un certificat a expiré ou a été mis à jours avant sa date d'expiration.
alors que maintenant :) mon objectif est de discuter avec vous sur les points suivants:

admettons qu'on manipule plusieurs certificats , une cinquantaine, avec une durée de vie d'un ans.
on peut bien se contenter de surveiller les certificats et l'ajouter manuellement à chaque mise à jours, avec les problèmes que cela peut impliquer si jamais le fournisseur met à jours son certificat avant sa date d'expiration sans nous prévenir.

j'aimerais donc discuter avec vous sur la possibilité, d'ajouter (importer avec keyttol) dynamiquement à la volet un certificat dans le keystore à chaque fois qu'on envoi une requête à tel ou tel fournisseur via son service web.
que ce que vous pensez de cette solutions.
est ce que java permet cela?
si oui !, comment faire?

je suis preneur de toute sorte de documentation sur le sujet.

merci de votre aide,
Gls

Ta solution est mauvaise.

Elle ne vérifie rien ce qui n'est pas normal. Il y a des solutions standard qu'il faut utiliser.

Après avoir regardé le certificat du lien que tu as donné, j'ai pu voir qu'il y avait des extensions X.509 dans le certificat mentionnant un point de distribution pour une CRL ainsi qu'un point de distribution pour OCSP. Ce qui implique donc de vérifier que le certificat que tu utilises n'a pas été révoqué.

D'une manière générale, avant d'utiliser un certificat X.509 (qu'elle qu'en soit l'utilisation) tu dois vérifier que (pas forcément dans cet ordre) :

1 / Le certificat est correctement formaté, c'est à dire dans un encodage adapté, généralement DER et que toutes les extensions X.509 du certificat marquées comme critiques soient comprises par ton système.
Si une extension marquée critique n'est pas comprise, ton système doit rejeter le certificat.

2 / La période de validité doit être correcte. C'est très facile à vérifier.

3 / La chaine de certification doit être valide. Si tu ne vois pas de quoi je parle tu as de la lecture à faire :)

4 / Les CRLs disponibles doivent être téléchargées et examinées afin de vérifier que le certificat n'a pas été révoqué.

Chacune de ces étapes doit être programmée à la main. La partie 3 qui est relativement complexe existe souvent déjà dans les API de sécurité. La RFC 3280 propose un algorithme standard pour vérifier une chaine de certification qui sert souvent d'algorithme de base pour les API. Par exemple pour BouncyCastle c'est cet algo qui est implémenté.
Ce mécanisme est décrit en détail dans la section 6 de la RFC 3280.

Si tu voulais de la doc je te conseille cette RFC.

Citation:

---

Envoyé par glasgow

si en fait j'arrive à lire maintenant les info de mon certificat en utilisant

Code:

---

X509Certificate[] allCerts = getCertificatsInfos(urlPath);

---

sauf que mon url renvois plusieurs certificats (https://particuliers.secure.lcl.fr/index.html) et je ne sais pas d'ailleurs le quel est bon..
quand à la question sur mon but final? -: ) faut savoir que mon objectif a beaucoup évolué au fur et à mesure de notre discussion.

---

C'est ta chaine de certification qui remonte jusqu'à Verisign.

Tu peux l'observer depuis firefox.

EDIT : Pour compléter, ta chaine remonte jusqu'à ce certificat racine :

Code:

---

1 2 3 4 5 6

OU = VeriSign Trust Network OU = "(c) 1998 VeriSign, Inc. - For authorized use only" OU = Class 3 Public Primary Certification Authority - G2 O = "VeriSign, Inc." C = US

---

Ce certificat est installé par défaut dans le magasin de ton navigateur et sur celui de ton système d'exploitation afin de pouvoir vérifier la chaine par toi même.

Citation:

---

Envoyé par Marco46

Ta solution est mauvaise.

Elle ne vérifie rien ce qui n'est pas normal. Il y a des solutions standard qu'il faut utiliser.

Après avoir regardé le certificat du lien que tu as donné, j'ai pu voir qu'il y avait des extensions X.509 dans le certificat mentionnant un point de distribution pour une CRL ainsi qu'un point de distribution pour OCSP. Ce qui implique donc de vérifier que le certificat que tu utilises n'a pas été révoqué.

D'une manière générale, avant d'utiliser un certificat X.509 (qu'elle qu'en soit l'utilisation) tu dois vérifier que (pas forcément dans cet ordre) :

1 / Le certificat est correctement formaté, c'est à dire dans un encodage adapté, généralement DER et que toutes les extensions X.509 du certificat marquées comme critiques soient comprises par ton système.
Si une extension marquée critique n'est pas comprise, ton système doit rejeter le certificat.

2 / La période de validité doit être correcte. C'est très facile à vérifier.

3 / La chaine de certification doit être valide. Si tu ne vois pas de quoi je parle tu as de la lecture à faire :)

4 / Les CRLs disponibles doivent être téléchargées et examinées afin de vérifier que le certificat n'a pas été révoqué.

Chacune de ces étapes doit être programmée à la main. La partie 3 qui est relativement complexe existe souvent déjà dans les API de sécurité. La RFC 3280 propose un algorithme standard pour vérifier une chaine de certification qui sert souvent d'algorithme de base pour les API. Par exemple pour BouncyCastle c'est cet algo qui est implémenté.
Ce mécanisme est décrit en détail dans la section 6 de la RFC 3280.

Si tu voulais de la doc je te conseille cette RFC.

---

merci Marco46, je suivrai ton conseil sur la lecture du RFC :) .

Mais faut savoir que si jamais mon code fonctionne je vais l'appliquer sur des fournisseurs de confiances, pour que je puisse accéder à leurs web service.
pour l'instant je récupère leurs certificats à partir de Firefox puis je l'installe manuellement dans mon keystore avec import keytool.
cela pose pas mal des problèmes, je ne suis pas prévenu quand l'un de ces certificats expire ou surtout quand il est mis à jours avant sa datte d'expiration.
dés fois mon site ne marche plus et en creusant je trouve que c'est un problème de certificat.
c'est pourquoi j'ai pensé à créer un petit thread pour surveiller les mise à jours de ces certificats.
puis je me suis poser la question pourquoi j'installe pas ces certificats dynamiquement à chaque fois que je fais appel à un service web.
c'est sur point que j'aimerais avoir vos lumières SVP.

merci encore à vous tous.

Citation:

---

Envoyé par glasgow

merci Marco46, je suivrai ton conseil sur la lecture du RFC :) .

Mais faut savoir que si jamais mon code fonctionne je vais l'appliquer sur des fournisseurs de confiances, pour que je puisse accéder à leurs web service.
pour l'instant je récupère leurs certificats à partir de Firefox puis je l'installe manuellement dans mon keystore avec import keytool.
cela pose pas mal des problèmes, je ne suis pas prévenu quand l'un de ces certificats expire ou surtout quand il est mis à jours avant sa datte d'expiration.
dés fois mon site ne marche plus et en creusant je trouve que c'est un problème de certificat.
c'est pourquoi j'ai pensé à créer un petit thread pour surveiller les mise à jours de ces certificats.
puis je me suis poser la question pourquoi j'installe pas ces certificats dynamiquement à chaque fois que je fais appel à un service web.
c'est sur point que j'aimerais avoir vos lumières SVP.

merci encore à vous tous.

---

Je vais te poser une question : pourquoi ne pas avoir dans ton keystore la chaine de certification sans le certificat server ?
Pour vérifier la validité d'un certificat server tu n'as pas besoin de lui faire directement confiance, il suffit de fait confiance à la chaine qui a émis ce certificat. Comme je le disais ci dessus, cette chaine est bien plus stable et les changements sont rares. A mon avis, il est beaucoup mieux de ne pas sauvegarder les certificats server un par un, mais plutôt de travailler avec les CAs.
Je pense que Marco me rejoint sur ce point.

+1 George7 d'autant que normalement, les étapes que je t'ai décrites devraient être gérées par ton code de connexion en HTTPS.

En fait ton appli se fait jetée dès que le certificat en bout de chaine du site sur lequel tu te connectes et que tu as téléchargé manuellement n'est plus valide c'est ça ?

On peut voir le code de connexion ? Quelle exception est levée lorsque ça arrive ?

Citation:

---

Envoyé par Marco46

C'est ta chaine de certification qui remonte jusqu'à Verisign.

Tu peux l'observer depuis firefox.

EDIT : Pour compléter, ta chaine remonte jusqu'à ce certificat racine :

Code:

---

1 2 3 4 5 6

OU = VeriSign Trust Network OU = "(c) 1998 VeriSign, Inc. - For authorized use only" OU = Class 3 Public Primary Certification Authority - G2 O = "VeriSign, Inc." C = US

---

Ce certificat est installé par défaut dans le magasin de ton navigateur et sur celui de ton système d'exploitation afin de pouvoir vérifier la chaine par toi même.

---

j'ai encore un peu de lecture à faire avant de reprendre la discussion, je vous remercie d'ailleurs encore une fois de votre patience et de votre suivie.
j'aimerais cependant revenir sur ce point.

voila, ce que mon code retourne comme info quand je l'exécute

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

Authority type RSA AlgName = SHA1withRSA DateBefore = Thu Nov 19 01:00:00 CET 2009 DateAfter = Fri Dec 10 00:59:59 CET 2010 AlgName = MD2withRSA DateBefore = Mon Jan 29 01:00:00 CET 1996 DateAfter = Wed Aug 02 01:59:59 CEST 2028 AlgName = SHA1withRSA DateBefore = Mon May 18 02:00:00 CEST 1998 DateAfter = Wed Aug 02 01:59:59 CEST 2028 AlgName = SHA1withRSA DateBefore = Wed Jan 19 01:00:00 CET 2005 DateAfter = Mon Jan 19 00:59:59 CET 2015 AlgName = SHA1withRSA DateBefore = Wed Mar 25 01:00:00 CET 2009 DateAfter = Mon Mar 25 00:59:59 CET 2019

---

or moi ce qui m'intéresse, c'est cette date, comme vous pouvez l'avoir dans ce screenshot.http://www.4shared.com/photo/19NvqSD-/Capture.html
http://dc281.4shared.com/img/19NvqSD...03050397276525
alors ma question comment dois je faire pour dire à mon code retourne moi une seule date, qui est d'ailleurs pour moi la bonne date, je ne sais pas c'est quoi ces autres dates.
voila mon code

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

X509Certificate[] allCerts = getCertificatsInfos(urlPath); for (int i = 0; i < allCerts.length; i++) {   X509Certificate cert1 = allCerts[i]; try { cert1.checkValidity(); } catch (CertificateExpiredException e) { e.printStackTrace(); } catch (CertificateNotYetValidException e) { e.printStackTrace(); }   Date dateAfter = cert1.getNotAfter(); Date dateBefore = cert1.getNotBefore(); System.out.println("AlgName = " + cert1.getSigAlgName()); System.out.println("DateBefore = "+dateBefore ); System.out.println("DateAfter = "+dateAfter); } }

---

Code:

---

X509Certificate[] allCerts

---

C'est une collection de certificats.

Quand tu regardes les détails du certificat dans ton navigateur tu as un arbre avec plusieurs sous branches. Ce qui signifie que tu as plusieurs certificats.

Ton screenshot correspond à un seul certificat et dans ton code tu parcours tous les certificats de la chaine de confiance et tu affiches successivement toutes les dates de validité de tous les certificats de la chaine.

A toi de déterminer quel certificat est le bon.

Marco je n'ai pas un arbre avec des branches, quand je regarde sur Firfoxe je n'ai qu'un seul certificat avec une seule date et une seule clef.
voila le lien que je teste avec https://particuliers.secure.lcl.fr/index.html


[edit]: je profite pour demander à george - si possible : -) - un lien détaillant le certificat server et le certificat CA.

merci

Citation:

---

Envoyé par glasgow

Marco je n'ai pas un arbre avec des branches, quand je regarde sur Firfoxe je n'ai qu'un seul certificat avec une seule date et une seule clef.
voila le lien que je teste avec https://particuliers.secure.lcl.fr/index.html


[edit]: je profite pour demander à george - si possible : -) - un lien détaillant le certificat server et le certificat CA.

merci

---

Tu vas sur le site.

Tu cliques sur lcl.fr dans la barre d'adresse à gauche de https://

Ca ouvre une petite fenêtre qui te dit que le certificat du site est vérifié par Verisign. Tu as un bouton "Plus d'informations".

Clique dessus.

Ensuite tu vas sur "Sécurité".

Ensuite tu cliques sur "Afficher le Certificat"

Ensuite tu vas sur l'onglet "Détails".

Et sous le libellé "Hiérarchie des certificats" tu as toute la chaine de confiance sous la forme d'un arbre.
Il y a 3 lignes car 3 certificats. C'est ceux que tu récupères dans ta collection de X509Certificate.

Le certificat identifiant le site est le dernier de l'arbre : particuliers.secure.lcl.fr

Il est émis (donc signé) par celui juste au dessus, qui est émis par celui juste au dessus, qui est lui même émis par un certificat de Verisign qui est une autorité racine et qui est déjà dans ton navigateur et ton système à l'installation de ton navigateur et de ton système. Et c'est comme ça que Firefox peut te dire que le certificat du site web a été vérifié quand tu es sur une page de ce site au travers de HTTPS.

J'espère être plus clair.

d'accord je comprend beaucoup mieux,
cependant moi je le récupère autrement, voir l'image ci-dessous
http://dc247.4shared.com/img/L8RZgJ0...76228255750787
et mon navigateur me retourne une date et ce cette là que j'aimerais récupérer avec mon code java.

merci

Le certificat du site c'est celui ayant pour CN "particuliers.secure.lcl.fr".

A toi de faire le test adéquat dans ta boucle pour retourner les dates de validité du certificat ayant pour CN "particuliers.secure.lcl.fr".

Cette fonction de X509Certificate devrait t'y aider.

Citation:

---

Envoyé par Marco46

Le certificat du site c'est celui ayant pour CN "particuliers.secure.lcl.fr".

A toi de faire le test adéquat dans ta boucle pour retourner les dates de validité du certificat ayant pour CN "particuliers.secure.lcl.fr".

Cette fonction de X509Certificate devrait t'y aider.

---

j'ai utilisé la méthode , elle m'a retourné cette chaine "CN=particuliers.secure.lcl.fr, OU=SILCA, O=Credit Agricole SA, L=La Defense, ST=Hauts de Seine, C=FR".
j'ai regardé en vin sur le net pour savoir s'il y a une méthode qui me retourne seulement la CN.
d'après vous y a t-il un moyen simple de retourner seulement la CN.
ou il faut que je parse la chaine et lui soustraire la CN.

merci

Citation:

---

Envoyé par Marco46

Le certificat du site c'est celui ayant pour CN "particuliers.secure.lcl.fr".

A toi de faire le test adéquat dans ta boucle pour retourner les dates de validité du certificat ayant pour CN "particuliers.secure.lcl.fr".

Cette fonction de X509Certificate devrait t'y aider.

---

j'ai utilisé la méthode getSubjectX500Principal , elle m'a retourné cette chaine "CN=particuliers.secure.lcl.fr, OU=SILCA, O=Credit Agricole SA, L=La Defense, ST=Hauts de Seine, C=FR".
j'ai regardé en vin sur le net pour savoir s'il y a une méthode qui me retourne seulement la CN.
d'après vous y a t-il un moyen simple de retourner seulement la CN.
ou il faut que je parse la chaine et lui soustraire la CN.

merci

Parse la chaine.

Citation:

---

Envoyé par Marco46

Parse la chaine.

---

c'est fait, merci Marco.


toujours dans le processus d'automatisation de mes certificats.

Voila ce que je fais manuellement

1. J’obtiens mon certificat avec un navigateur
2. Je supprime le certificat périmé de mon keystore (keytool –delete)
3. J’ajoute le nouveau certificat (keyttol –import)


Ce que j’arrive à faire jusqu'à maintenant c'est de récupérer le certificat puis le manipuler un peu,.. pour voir par exemple sa date d’expiration ou lire son CN,..etc.
Mais pour 2 & 3. Comment faire pour automatiser ces deux points.

Merci encore et j’espère que je n’ai pas abusé de votre disponibilité.


[EDIT] j'édite mon post pour poser une nouvelle question.

Citation:

---

Envoyé par Marco46 Voir le message
Le certificat du site c'est celui ayant pour CN "particuliers.secure.lcl.fr".

---

est ce que je peux vraiment me baser sur le CN pour récupérer le certificat qui m'intéresse? je pose ma question autrement est ce que le CN peut changer ou pas? sachant que je pointe toujours vers les mêmes liens.
merci

Le CN n'est pas censé changer. Si ton certificat était dans un annuaire LDAP c'est avec ces infos que tu le retrouverais. Ou alors c'est que l'hébergeur réorganise son système. Donc tu peux t'y fier à mon avis.

Pour manipuler un keystore pas besoin de passer par un outil en ligne de commande, tu peux utiliser la classe KeyStore et les méthodes :
deleteEntry(String alias) pour supprimer un certificat
getCertificate(String alias) pour récupérer un certificat du magasin
setCertificateEntry(String alias, Certificate cert) pour ajouter un certificat au magasin.