diff --git a/cert-generator/cert_server.py b/cert-generator/cert_server.py
index cdc3e1c..6347ed7 100644
--- a/cert-generator/cert_server.py
+++ b/cert-generator/cert_server.py
@@ -13,7 +13,7 @@ Usage :
 Sert la RACINE du projet (parent), donc les 3 apps + le switcher fonctionnent.
 """
 
-import sys, os, json, base64, shutil, re
+import sys, os, json, base64, shutil
 from http.server import SimpleHTTPRequestHandler, ThreadingHTTPServer
 
 PORT = int(sys.argv[1]) if len(sys.argv) > 1 else 8000
@@ -23,12 +23,15 @@ ROOT = os.path.dirname(SCRIPT_DIR)  # racine projet
 WORK = os.path.join(SCRIPT_DIR, "LISTS_ALL_CERT")  # dossier de travail (disque)
 ARCH = os.path.join(WORK, "archives")
 
-SAFE = re.compile(r"^[A-Za-z0-9._@\-,=+*() ]+$")  # noms de dossier/fichier autorisés (incl. DN : « CN=x, OU=y »)
-
-
+# Blacklist plutôt que whitelist : on autorise tout nom (DN avec « , = » et
+# espaces, y compris insécables/Unicode venant de Windows) SAUF ce qui permet
+# de sortir du dossier ou de casser le FS.
 def safe_name(n):
     n = (n or "").strip()
-    if not n or n in (".", "..") or "/" in n or "\\" in n or not SAFE.match(n):
+    if (not n or n in (".", "..")
+            or "/" in n or "\\" in n
+            or "\x00" in n
+            or any(ord(c) < 32 or ord(c) == 0x7f for c in n)):  # caractères de contrôle
         raise ValueError("nom invalide: %r" % n)
     return n