Comment générer un CSR pour votre certificat SSL

Avant qu’une autorité de certification puisse émettre votre certificat SSL, vous devez générer un CSR (Certificate Signing Request, ou demande de signature de certificat) sur le serveur où le certificat sera installé. Le CSR contient votre clé publique et les informations de votre domaine. Vous nous envoyez le CSR. La clé privée ne quitte jamais votre serveur.

Générer votre CSR
Vérifier un CSR
Acheter un certificat SSL

Ce dont vous avez besoin pour générer un CSR

Quel que soit votre serveur, les étapes de génération d’un CSR pour un certificat SSL demandent les mêmes informations. Préparez-les avant de commencer. Pour les certificats OV et EV, les informations sur l’organisation doivent correspondre à l’immatriculation de votre entreprise.

Nom commun (Common Name)Le nom d'hôte exact à sécuriser, par ex. www.example.com. Pour un wildcard, *.example.com.
OrganisationLa raison sociale de votre entreprise, par ex. Example Company (Pty) Ltd
Unité organisationnelleService, par ex. IT ou Web Security
Ville / localitée.g. Johannesburg
État / provinceEn toutes lettres, par ex. Gauteng
PaysCode ISO à deux lettres, par ex. ZA, ZW, CD
Type et taille de cléRSA, 2048 bits ou plus

DigiCert exige une taille de clé d’au moins 2048 bits. Un CSR avec une clé plus petite sera rejeté.

Vous sécurisez plusieurs noms d’hôte différents avec un seul certificat ? Les noms supplémentaires sont ajoutés en tant que Subject Alternative Names (SAN), normalement lors de la commande plutôt que dans le CSR lui-même. Communiquez-nous la liste complète lors de votre commande.

Générer un CSR étape par étape pour votre serveur

Choisissez la plateforme sur laquelle le certificat sera installé et générez le CSR sur ce même serveur. Le certificat SSL que nous émettons ne fonctionnera qu’avec la clé privée créée en même temps que votre CSR.

Générer un CSR sur IIS 10 / Windows Server

  1. Ouvrir Server Certificates

    Lancez le gestionnaire des services Internet (IIS), sélectionnez votre serveur dans le volet Connexions, puis double-cliquez sur Server Certificates.

  2. Lancer la demande

    Dans le volet Actions, cliquez sur Create Certificate Request.

  3. Saisissez les informations du nom distinctif (Distinguished Name)

    • Nom commun : le FQDN à sécuriser, par ex. www.example.com
    • Organisation : la raison sociale de votre entreprise
    • Unité organisationnelle : par ex. IT
    • Ville/localité, État/province, pays

  4. Définir les propriétés de chiffrement

    Choisissez Microsoft RSA SChannel Cryptographic Provider et une longueur de clé de 2048.

  5. Enregistrer le CSR

    Choisissez un nom et un emplacement de fichier, puis cliquez sur Finish.

  6. Copier la demande complète

    Ouvrez le fichier dans le Bloc-notes et copiez tout, y compris les lignes BEGIN et END :

    -----BEGIN NEW CERTIFICATE REQUEST-----
...
-----END NEW CERTIFICATE REQUEST-----

Sur IIS, la clé privée est stockée dans le magasin de certificats Windows. Finalisez l'installation du certificat sur le même serveur à l'aide de Complete Certificate Request.

Générer un CSR sur Exchange Server 2016 et versions ultérieures, via le Centre d'administration Exchange (EAC)

  1. Ouvrir le Centre d'administration Exchange

    Accédez à l'EAC, par exemple :

    https://localhost/ecp

  2. Ajouter un nouveau certificat

    Allez dans Servers › Certificates, sélectionnez votre serveur Exchange et cliquez sur +.

  3. Demande auprès d'une autorité de certification

    Choisissez Create a request for a certificate from a certification authority, donnez un nom convivial au certificat et continuez.

  4. Choisir un wildcard ou des domaines nommés

    Pour un wildcard, cochez l'option wildcard et saisissez le domaine racine, par ex. *.example.com. Pour un certificat standard ou multidomaine, vérifiez les noms proposés par Exchange (mail, autodiscover, OWA, etc.) et ajoutez, modifiez ou supprimez-en selon vos besoins.

  5. Saisir les informations sur l'organisation

    Nom de l'organisation, service, ville, État/province et pays.

  6. Enregistrer dans un chemin UNC

    Exchange exige un chemin de partage réseau, par exemple :

    \\SERVER\Share\mail-example-com.csr

  7. Copier la demande complète

    Cliquez sur Finish, ouvrez le CSR dans un éditeur de texte et copiez l'intégralité de son contenu, y compris les lignes BEGIN et END.

Générer un CSR sur Apache et la plupart des serveurs Linux avec OpenSSL

  1. Connectez-vous à votre serveur

    Connectez-vous via SSH.

  2. Générer la clé et le CSR

    Exécutez la commande ci-dessous en remplaçant example.com par votre propre domaine afin d'identifier facilement les fichiers :

    openssl req -new -newkey rsa:2048 -nodes \
  -keyout example.com.key \
  -out example.com.csr

  3. Répondre aux invites

    OpenSSL vous demande vos informations. Le Common Name doit correspondre au nom d'hôte que vous sécurisez.

    # Exemples de réponses
Country Name (2 letter code):      ZA
State or Province Name:            Gauteng
Locality Name:                     Johannesburg
Organization Name:                 Example Company (Pty) Ltd
Organizational Unit Name:          IT
Common Name:                       www.example.com

    Vous préférez une seule commande sans invites ? Transmettez les informations directement :

    openssl req -new -newkey rsa:2048 -nodes \
  -keyout example.com.key -out example.com.csr \
  -subj "/C=ZA/ST=Gauteng/L=Johannesburg/O=Example Company (Pty) Ltd/OU=IT/CN=www.example.com"

  4. Vérifiez le CSR avant de l'envoyer

    Confirmez que les informations sont correctes :

    openssl req -noout -text -in example.com.csr

  5. Copier le CSR

    Affichez le fichier et copiez tout, de BEGIN à END :

    cat example.com.csr

  6. Sauvegarder la clé privée

    Conservez example.com.key en lieu sûr. Vous en aurez besoin pour installer le certificat. Ne l'envoyez jamais, ni à nous ni à l'autorité de certification.

Générer un CSR sur Ubuntu Linux avec Apache2

  1. Se connecter via SSH

    Connectez-vous au serveur Ubuntu qui hébergera le certificat.

  2. Exécuter OpenSSL

    openssl req -new -newkey rsa:2048 -nodes \
  -keyout server.key \
  -out server.csr

  3. Saisissez les informations de votre domaine et de votre organisation

    Utilisez le FQDN du site comme Common Name, ou *.example.com pour un wildcard.

  4. Protéger la clé privée

    Restreignez l'accès à la clé et conservez une sauvegarde sécurisée :

    chmod 600 server.key

  5. Envoyer le CSR

    Ouvrez server.csr et envoyez-nous l'intégralité de son contenu, y compris les lignes BEGIN et END.

Générer un CSR sur Apache Tomcat et d'autres serveurs Java avec Keytool

  1. Créer un nouveau keystore

    Partez d'un nouveau keystore Java pour le nouveau certificat :

    keytool -genkeypair -alias server \
  -keyalg RSA -keysize 2048 \
  -keystore example.com.jks

  2. Définir un mot de passe de keystore

    Conservez-le en lieu sûr. Vous en aurez besoin pour générer le CSR, puis à nouveau lors de l'installation du certificat.

  3. Saisissez le domaine, pas votre nom

    Lorsque Keytool demande “What is your first and last name?”, ne saisissez pas le nom d'une personne. Saisissez le FQDN du site, par ex. www.example.com, ou *.example.com pour un wildcard. Renseignez ensuite les informations sur l'organisation et la localisation.

  4. Générer le CSR

    keytool -certreq -alias server \
  -file csr.txt \
  -keystore example.com.jks

    Saisissez le mot de passe du keystore lorsque vous y êtes invité.

  5. Copier et envoyer

    Ouvrez csr.txt et copiez la demande complète, y compris les lignes BEGIN et END. Lors de la commande, sélectionnez Tomcat comme logiciel serveur.

  6. Sauvegarder le keystore

    Faites une copie de example.com.jks avant d'installer le certificat. Il contient votre clé privée.

Vérifiez votre CSR avant de l'envoyer

Collez le CSR que vous avez généré pour le décoder et confirmer que les informations sont correctes. Le vérificateur contrôle la signature, la taille de clé, l’algorithme de hachage, le Common Name, le code pays et les Subject Alternative Names, et vous indique ce qu’il faut corriger avant de commander votre certificat SSL.

Importer un fichier .csr Vérifié dans votre navigateur. Votre CSR n'est ni envoyé ni stocké.

Après avoir généré un CSR : ce qu'il faut partager et ce qu'il faut garder

La clé privée et le CSR forment une paire indissociable. Le certificat SSL émis à partir de votre CSR ne pourra être installé qu’avec la clé privée créée en même temps.

FichierCe que c'estÀ partager ?
example.com.csrDemande de signature de certificat (CSR)Oui, à nous envoyer
example.com.key / .jksClé privée (ou keystore qui la contient)Jamais
Certificat émisVotre certificat SSL/TLSÀ installer sur votre serveur
Certificat d'autorité intermédiaireComplète la chaîne de certificatsÀ installer sur votre serveur
  1. Votre serveur
    Crée la clé privée

    Elle reste sur le serveur.

  2. Votre serveur
    Génère le CSR

    Construit à partir de la clé et de vos informations.

  3. Vous
    Vérifiez et envoyez le CSR

    Collez-le dans votre commande.

  4. Autorité de certification
    Valide et émet

    Vérifications du domaine, de l'organisation ou EV.

  5. Votre serveur
    Installez le certificat

    Sur le serveur qui détient la clé.

Conseils pour bien générer un CSR

Gardez la clé privée confidentielle

Seul le CSR est envoyé à Prima Secure ou à l’autorité de certification. Si la clé est perdue, vous devrez générer un nouveau CSR et faire réémettre le certificat.

Faites correspondre exactement le Common Name

www.example.com pour un certificat standard, *.example.com pour un wildcard, mail.example.com pour les services de messagerie.

Générez le CSR sur le bon serveur

Créez-le sur la machine où le certificat SSL sera installé, ou prévoyez de transférer la clé privée de manière sécurisée.

Utilisez une clé RSA de 2048 bits ou plus

Les clés plus petites sont rejetées. 2048 bits est le minimum ; 3072 ou 4096 bits sont également acceptés.

Copiez la demande complète

Incluez les lignes BEGIN et END, sans espaces superflus ni caractères manquants. Un CSR tronqué ne peut pas être traité.

Indiquez tous les noms d'hôte dès le départ

Pour les certificats multidomaines, communiquez-nous tous les SAN lors de la commande afin que le certificat couvre tout dès la première émission.

D’après les recommandations de DigiCert sur les CSR. Pour les autres plateformes, consultez la base de connaissances DigiCert sur les CSR.

Générer un CSR : questions fréquentes

Une demande de signature de certificat (CSR) est un bloc de texte encodé généré sur votre serveur. Elle contient votre clé publique ainsi que les informations sur le domaine et l’organisation que le certificat SSL couvrira. L’autorité de certification l’utilise pour créer votre certificat.

Générez le CSR sur le serveur où le certificat SSL sera installé, par exemple votre serveur IIS, Exchange, Apache, Ubuntu ou Tomcat. Ce serveur conserve la clé privée correspondante nécessaire à l’installation.

Collez-le dans le vérificateur de CSR de cette page. Il décode le CSR dans votre navigateur et contrôle la signature, la taille de clé, l’algorithme de hachage, le Common Name, le code pays et les Subject Alternative Names. Rien n’est envoyé.

Non. Vous n’envoyez que le CSR. Ne partagez jamais votre clé privée avec Prima Secure, l’autorité de certification ou qui que ce soit.

Utilisez une clé RSA d’au moins 2048 bits, ou une clé ECC P-256 ou P-384. DigiCert rejette les clés RSA de moins de 2048 bits.

Suivez les mêmes étapes pour votre serveur, mais saisissez le Common Name au format wildcard, par exemple *.example.com.

C’est possible sur certaines plateformes, mais nous vous recommandons de générer un nouveau CSR et une nouvelle clé privée à chaque renouvellement. De nouvelles clés limitent l’impact si une ancienne clé a été exposée.

Achetez votre certificat SSL, collez le CSR complet dans la commande et finalisez la validation. Une fois le certificat émis, installez-le sur le même serveur avec le certificat intermédiaire.

Vous avez généré votre CSR ? Obtenez votre certificat SSL

Prima Secure est l’un des plus grands revendeurs DigiCert et Sectigo d’Afrique. Choisissez votre certificat SSL, collez votre CSR, et notre équipe vous accompagnera pendant la validation et l’installation. Des questions ? Écrivez à sales@primasecure.com.

Acheter un certificat SSL