Comment générer un CSR pour votre certificat SSL

Avant qu’une autorité de certification puisse émettre votre certificat SSL, vous devez générer un CSR (Certificate Signing Request, ou demande de signature de certificat) sur le serveur où le certificat sera installé. Le CSR contient votre clé publique et les informations de votre domaine. Vous nous envoyez le CSR. La clé privée ne quitte jamais votre serveur.

Générer votre CSR Vérifier un CSR Acheter un certificat SSL

example.com.csrÀ nous envoyer

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCWkEx
EDAOBgNVBAgMB0dhdXRlbmcxFTATBgNVBAcM
DEpvaGFubmVzYnVyZzEdMBsGA1UECgwURXhh…
-----END CERTIFICATE REQUEST-----

example.com.keyÀ garder sur le serveur

-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcw
ggSjAgEAAoIBAQC7vbqajDw4o6gJy8UtmIbk
-----END PRIVATE KEY-----

Avant de commencer

Ce qu’il vous faut pour générer un CSR

Quel que soit votre serveur, la génération d’un CSR demande les mêmes informations. Préparez-les avant de commencer. Pour les certificats OV et EV, les informations sur l’organisation doivent correspondre à l’immatriculation de votre entreprise.

Nom commun (Common Name): Le nom d’hôte exact à sécuriser, par ex. www.example.com. Pour un wildcard, *.example.com.
Organisation: La raison sociale de votre entreprise, par ex. Example Company (Pty) Ltd
Unité organisationnelle: Le service, par ex. IT ou Sécurité Web
Ville / localité: par ex. Kinshasa
État / province: En toutes lettres, par ex. Kinshasa
Pays: Code ISO à deux lettres, par ex. CD, CG, FR
Type et taille de clé: RSA, 2048 bits ou plus

DigiCert exige une clé d’au moins 2048 bits. Un CSR avec une clé plus petite sera refusé.

Vous sécurisez plusieurs noms d’hôte différents avec un seul certificat ? Les noms supplémentaires sont ajoutés comme Subject Alternative Names (SAN), en général lors de la commande plutôt que dans le CSR. Donnez-nous la liste complète au moment de commander.

Pas à pas

Générer un CSR pas à pas pour votre serveur

Choisissez la plateforme où le certificat sera installé et générez le CSR sur ce même serveur. Le certificat SSL que nous émettons ne fonctionnera qu’avec la clé privée créée en même temps que votre CSR.

Générer un CSR sur IIS 10 / Windows Server

Ouvrir Certificats de serveur
Lancez le Gestionnaire des services Internet (IIS), sélectionnez votre serveur dans le volet Connexions, puis double-cliquez sur Certificats de serveur (Server Certificates).
Lancer la demande
Dans le volet Actions, cliquez sur Créer une demande de certificat (Create Certificate Request).
Saisir le nom unique (Distinguished Name)
- Nom commun : le FQDN à sécuriser, par ex. www.example.com
- Organisation : la raison sociale de votre entreprise
- Unité d’organisation : par ex. IT
- Ville/localité, État/province, pays
Définir les propriétés de chiffrement
Choisissez Microsoft RSA SChannel Cryptographic Provider et une longueur de 2048 bits.
Enregistrer le CSR
Choisissez un nom de fichier et un emplacement, puis cliquez sur Terminer.
Copier toute la demande
Ouvrez le fichier dans le Bloc-notes et copiez tout, y compris les lignes BEGIN et END :
```
-----BEGIN NEW CERTIFICATE REQUEST-----
...
-----END NEW CERTIFICATE REQUEST-----
```

Sur IIS, la clé privée est stockée dans le magasin de certificats Windows. Terminez l’installation du certificat sur le même serveur avec Terminer la demande de certificat (Complete Certificate Request).

Générer un CSR sur Exchange Server 2016 et versions ultérieures, via le Centre d’administration Exchange (EAC)

Ouvrir le Centre d’administration Exchange
Accédez à l’EAC, par exemple :
```
https://localhost/ecp
```
Ajouter un certificat
Allez dans Serveurs › Certificats, sélectionnez votre serveur Exchange et cliquez sur +.
Demander à une autorité de certification
Choisissez Créer une demande de certificat auprès d’une autorité de certification, donnez un nom convivial au certificat et continuez.
Choisir wildcard ou domaines nommés
Pour un wildcard, cochez l’option correspondante et saisissez le domaine racine, par ex. *.example.com. Pour un certificat standard ou multi-domaines, vérifiez les noms proposés par Exchange (mail, autodiscover, OWA, etc.) et ajoutez, modifiez ou supprimez-les selon vos besoins.
Saisir les informations de l’organisation
Nom de l’organisation, service, ville, État/province et pays.
Enregistrer sur un chemin UNC
Exchange exige un chemin de partage réseau, par exemple :
```
\\SERVER\Share\mail-example-com.csr
```
Copier toute la demande
Cliquez sur Terminer, ouvrez le CSR dans un éditeur de texte et copiez tout son contenu, y compris les lignes BEGIN et END.

Générer un CSR sur Apache et la plupart des serveurs Linux avec OpenSSL

Se connecter au serveur
Connectez-vous en SSH.
Générer la clé et le CSR
Lancez la commande ci-dessous en remplaçant example.com par votre domaine, pour identifier facilement les fichiers :
```
openssl req -new -newkey rsa:2048 -nodes \
  -keyout example.com.key \
  -out example.com.csr
```

Répondre aux questions

OpenSSL vous demande vos informations. Le Common Name doit correspondre au nom d’hôte que vous sécurisez.

# Exemple de réponses
Country Name (2 letter code):      ZA
State or Province Name:            Gauteng
Locality Name:                     Johannesburg
Organization Name:                 Example Company (Pty) Ltd
Organizational Unit Name:          IT
Common Name:                       www.example.com

Vous préférez une seule commande sans questions ? Passez les informations directement :

openssl req -new -newkey rsa:2048 -nodes \
  -keyout example.com.key -out example.com.csr \
  -subj "/C=ZA/ST=Gauteng/L=Johannesburg/O=Example Company (Pty) Ltd/OU=IT/CN=www.example.com"

Vérifier le CSR avant de l’envoyer
Contrôlez que les informations sont correctes :
```
openssl req -noout -text -in example.com.csr
```
Copier le CSR
Affichez le fichier et copiez tout, de BEGIN à END :
```
cat example.com.csr
```
Sauvegarder la clé privée
Conservez example.com.key en lieu sûr. Vous en aurez besoin pour installer le certificat. Ne l’envoyez jamais, ni à nous ni à l’autorité de certification.

Générer un CSR sur Ubuntu Linux avec Apache2

Se connecter en SSH
Connectez-vous au serveur Ubuntu qui hébergera le certificat.

Lancer OpenSSL

openssl req -new -newkey rsa:2048 -nodes \
  -keyout server.key \
  -out server.csr

Saisir le domaine et l’organisation
Utilisez le FQDN du site comme Common Name, ou *.example.com pour un wildcard.
Protéger la clé privée
Restreignez l’accès à la clé et gardez-en une sauvegarde sécurisée :
```
chmod 600 server.key
```
Envoyer le CSR
Ouvrez server.csr et envoyez-nous tout son contenu, y compris les lignes BEGIN et END.

Générer un CSR sur Apache Tomcat et les autres serveurs Java avec Keytool

Créer un nouveau keystore

Partez d’un keystore Java neuf pour le nouveau certificat :

keytool -genkeypair -alias server \
  -keyalg RSA -keysize 2048 \
  -keystore example.com.jks

Définir un mot de passe pour le keystore
Conservez-le en lieu sûr. Il vous servira pour générer le CSR, puis pour installer le certificat.
Saisir le domaine, pas votre nom
Quand Keytool demande « What is your first and last name? », ne saisissez pas un nom de personne. Saisissez le FQDN du site, par ex. www.example.com, ou *.example.com pour un wildcard. Renseignez ensuite l’organisation et la localisation.
Générer le CSR
```
keytool -certreq -alias server \
  -file csr.txt \
  -keystore example.com.jks
```
Saisissez le mot de passe du keystore lorsqu’il est demandé.
Copier et envoyer
Ouvrez csr.txt et copiez toute la demande, y compris les lignes BEGIN et END. Lors de la commande, choisissez Tomcat comme logiciel serveur.
Sauvegarder le keystore
Faites une copie de example.com.jks avant d’installer le certificat. Il contient votre clé privée.

Vérificateur de CSR

Vérifiez votre CSR avant de l’envoyer

Collez le CSR généré pour le décoder et confirmer que les informations sont correctes. Le vérificateur contrôle la signature, la taille de clé, l’algorithme de hachage, le Common Name, le code pays et les Subject Alternative Names, et vous indique quoi corriger avant de commander votre certificat SSL.

Collez votre CSR Incluez les lignes BEGIN et END. Le CSR est décodé dans votre navigateur, rien n’est envoyé. Ne collez jamais votre clé privée.

À partager ou à garder

Après la génération du CSR : quoi partager, quoi garder

La clé privée et le CSR forment une paire. Le certificat SSL émis à partir de votre CSR ne s’installera qu’avec la clé privée créée en même temps.

Fichier	Ce que c’est	À partager ?
example.com.csr	Demande de signature de certificat	Oui, à nous envoyer
example.com.key / .jks	Clé privée (ou keystore qui la contient)	Jamais
Certificat émis	Votre certificat SSL/TLS	À installer sur votre serveur
Certificat intermédiaire	Complète la chaîne de certificats	À installer sur votre serveur

Votre serveur
Crée la clé privée
Elle reste sur le serveur.
Votre serveur
Génère le CSR
À partir de la clé et de vos informations.
Vous
Vérifiez et envoyez le CSR
Collez-le dans votre commande.
Autorité de certification
Valide et émet
Contrôles du domaine, de l’organisation ou EV.
Votre serveur
Installe le certificat
Sur le serveur qui détient la clé.

Réussir du premier coup

Conseils pour bien générer un CSR

Gardez la clé privée… privée

Seul le CSR est envoyé à FastSSL Arena ou à l’autorité de certification. Si la clé est perdue, vous devrez générer un nouveau CSR et faire réémettre le certificat.

Respectez exactement le Common Name

www.example.com pour un certificat standard, *.example.com pour un wildcard, mail.example.com pour la messagerie.

Générez le CSR sur le bon serveur

Créez-le sur la machine où le certificat SSL sera installé, ou prévoyez de transférer la clé privée de façon sécurisée.

Utilisez RSA 2048 bits ou plus

Les clés plus petites sont refusées. 2048 bits est le minimum ; 3072 ou 4096 sont aussi acceptés.

Copiez toute la demande

Incluez les lignes BEGIN et END, sans espace en trop ni caractère manquant. Un CSR tronqué ne peut pas être traité.

Listez tous les noms d’hôte dès le départ

Pour un certificat multi-domaines, donnez-nous tous les SAN à la commande, pour que le certificat couvre tout du premier coup.

D’après les recommandations CSR de DigiCert. Pour d’autres plateformes, consultez la base de connaissances CSR de DigiCert (en anglais).

FAQ

Générer un CSR : questions fréquentes

Qu’est-ce qu’un CSR ?

Un CSR (Certificate Signing Request) est un bloc de texte encodé généré sur votre serveur. Il contient votre clé publique et les informations du domaine et de l’organisation que le certificat SSL couvrira. L’autorité de certification s’en sert pour créer votre certificat.

Où générer le CSR de mon certificat SSL ?

Générez le CSR sur le serveur où le certificat SSL sera installé, par exemple votre serveur IIS, Exchange, Apache, Ubuntu ou Tomcat. Ce serveur conserve la clé privée nécessaire à l’installation.

Comment vérifier un CSR avant de l’envoyer ?

Collez-le dans le vérificateur de cette page. Il décode le CSR dans votre navigateur et contrôle la signature, la taille de clé, l’algorithme de hachage, le Common Name, le code pays et les Subject Alternative Names. Rien n’est envoyé.

Dois-je vous envoyer ma clé privée ?

Non. Vous n’envoyez que le CSR. Ne partagez jamais votre clé privée, ni avec FastSSL Arena, ni avec l’autorité de certification, ni avec personne d’autre.

Quelle taille de clé choisir pour mon CSR ?

Utilisez une clé RSA d’au moins 2048 bits, ou une clé ECC P-256 ou P-384. DigiCert refuse les clés RSA de moins de 2048 bits.

Comment générer un CSR pour un certificat wildcard ?

Suivez les mêmes étapes pour votre serveur, mais saisissez le Common Name au format wildcard, par exemple *.example.com.

Puis-je réutiliser un ancien CSR au renouvellement ?

C’est possible sur certaines plateformes, mais nous recommandons de générer un nouveau CSR et une nouvelle clé privée à chaque renouvellement. Des clés neuves limitent l’impact si une ancienne clé a été exposée.

J’ai généré mon CSR. Et ensuite ?

Achetez votre certificat SSL, collez le CSR complet dans la commande et terminez la validation. Une fois le certificat émis, installez-le sur le même serveur avec le certificat intermédiaire.

CSR prêt ?

Votre CSR est prêt ? Obtenez votre certificat SSL.

FastSSL Arena vend des certificats DigiCert, Sectigo, Thawte, GeoTrust et RapidSSL. Choisissez votre certificat SSL, collez votre CSR, et notre équipe vous accompagne pendant la validation et l’installation.

Acheter un certificat Parler à un expert

Comment générer un CSR pour votre certificat SSL

Ce qu’il vous faut pour générer un CSR

Générer un CSR pas à pas pour votre serveur

Ouvrir Certificats de serveur

Lancer la demande

Saisir le nom unique (Distinguished Name)

Définir les propriétés de chiffrement

Enregistrer le CSR

Copier toute la demande

Ouvrir le Centre d’administration Exchange

Ajouter un certificat

Demander à une autorité de certification

Choisir wildcard ou domaines nommés

Saisir les informations de l’organisation

Enregistrer sur un chemin UNC

Copier toute la demande

Se connecter au serveur

Générer la clé et le CSR

Répondre aux questions

Vérifier le CSR avant de l’envoyer

Copier le CSR

Sauvegarder la clé privée

Se connecter en SSH

Lancer OpenSSL

Saisir le domaine et l’organisation

Protéger la clé privée

Envoyer le CSR

Créer un nouveau keystore

Définir un mot de passe pour le keystore

Saisir le domaine, pas votre nom

Générer le CSR

Copier et envoyer

Sauvegarder le keystore