CSR generation : créer un certificat SSL avec OpenSSL et outils en ligne

Avant qu’un site passe en HTTPS, une étape prépare le terrain : la génération de CSR. Cette demande de signature de certificat transmet à l’autorité de certification la clé publique et les informations nécessaires pour émettre un certificat SSL/TLS, sans jamais lui envoyer la clé privée. OpenSSL, panneau d’hébergement ou générateur en ligne : voici comment choisir la bonne méthode et éviter les erreurs qui compliquent l’installation.

Génération de CSR : ce que contient une demande de certificat

Une CSR, ou demande de signature de certificat, est un fichier texte qui rassemble des informations d’identification et une clé publique. L’autorité de certification s’en sert pour préparer un certificat TLS ; la clé privée associée reste sous votre contrôle et ne doit pas être transmise.

La CSR suit le format PKCS #10. Elle est signée avec la clé privée correspondante, ce qui permet de vérifier le lien entre les deux. Elle ne constitue pas elle-même un certificat SSL : l’autorité doit encore valider la demande et émettre le certificat.

Les champs à préparer avant de créer une CSR

Avant de lancer OpenSSL ou d’ouvrir un panneau d’hébergement, rassemblez les informations qui figureront dans la demande. Pour une validation d’organisation (OV ou EV), les données légales doivent correspondre aux registres officiels ; pour un certificat DV, la vérification porte principalement sur le contrôle du domaine.

Champ	Valeur à indiquer	Exemple
Common Name (CN)	Nom de domaine principal à sécuriser	www.exemple.fr
Organization (O)	Raison sociale exacte, si nécessaire	Atelier Luma SAS
Organizational Unit (OU)	Service ou département, facultatif	Équipe technique
Locality (L)	Ville de l’organisation	Nantes
State (ST)	Région ou département, en toutes lettres	Loire-Atlantique
Country (C)	Code pays ISO à deux lettres	FR
Email	Adresse de contact, si demandée	admin@exemple.fr

Le nom de domaine mérite une attention particulière : www.exemple.fr et exemple.fr sont deux noms distincts. Pour un certificat couvrant plusieurs noms, gardez le domaine principal en CN et ajoutez les autres comme SAN (Subject Alternative Names), si l’outil le permet. Un certificat wildcard peut utiliser *.exemple.fr, mais ne couvre pas automatiquement le domaine nu exemple.fr.

Créer une CSR avec OpenSSL sur Linux, Apache ou Nginx

OpenSSL est pratique lorsque vous avez un accès SSH au serveur et souhaitez garder la clé privée dans votre environnement. La commande suivante crée une clé RSA de 2048 bits et la CSR correspondante :

openssl req -new -newkey rsa:2048 -nodes -keyout exemple.key -out exemple.csr

L’option req -new prépare une nouvelle demande ; -newkey rsa:2048 crée la clé ; -keyout désigne le fichier qui la conserve et -out enregistre la CSR. L’option -nodes laisse la clé sans phrase secrète : cela facilite le démarrage automatique du serveur, mais rend d’autant plus importante la protection du fichier et de ses sauvegardes.

OpenSSL demande ensuite les champs d’identification. Saisissez le nom exact du domaine, le code pays à deux lettres et, pour les certificats d’organisation, les informations légales exactes. Le « mot de passe de défi » peut généralement rester vide, sauf instruction contraire de votre autorité de certification.

Ajouter des SAN et générer une clé ECC

Pour définir plusieurs noms dans une seule commande, OpenSSL 1.1.1 ou une version ultérieure accepte l’option -addext. Remplacez les domaines par ceux de votre certificat :

openssl req -new -newkey rsa:2048 -nodes -keyout exemple.key -out exemple.csr -subj « /C=FR/ST=Loire-Atlantique/L=Nantes/O=Atelier Luma SAS/CN=www.exemple.fr » -addext « subjectAltName=DNS:exemple.fr,DNS:www.exemple.fr »

Les versions plus anciennes, encore présentes sur certains systèmes, ne reconnaissent pas -addext. Vérifiez votre version avec « openssl version » et, si besoin, définissez les SAN dans un fichier de configuration OpenSSL. Pour une clé ECC P-256, créez d’abord la clé, puis la demande :

openssl ecparam -genkey -name prime256v1 -out exemple.key

openssl req -new -key exemple.key -out exemple.csr

RSA 2048 reste un choix largement compatible ; ECC peut être plus léger et performant, à condition que votre hébergeur et votre autorité de certification le prennent en charge. Dans tous les cas, conservez la clé privée à part, avec des permissions d’accès limitées : c’est un élément central de la sécurité serveur.

Générer une CSR avec cPanel ou WHM

Si votre hébergement utilise cPanel, la génération peut se faire sans terminal. Ouvrez la rubrique « SSL/TLS », puis « Certificate Signing Requests (CSR) » et remplissez les champs demandés. Indiquez le domaine complet et les noms supplémentaires dans le champ prévu pour les domaines ou les SAN.

Après validation, copiez l’intégralité de la CSR affichée pour la transmettre à l’autorité de certification. cPanel conserve normalement la clé privée associée dans la section prévue à cet effet : repérez son emplacement avant l’installation. Dans WHM, l’outil se trouve généralement sous « SSL/TLS », puis « Generate an SSL Certificate and Signing Request ».

Créer une demande de certificat sur Windows avec IIS

Sur un serveur Windows, IIS Manager permet de créer une demande depuis l’interface graphique. Sélectionnez le nom du serveur, ouvrez « Server Certificates », puis choisissez « Create Certificate Request » dans le panneau Actions. Renseignez le nom commun, l’organisation, la ville, la région et le pays.

Choisissez un fournisseur cryptographique compatible avec votre environnement ; le fournisseur Microsoft RSA SChannel est le choix courant lorsqu’aucune contrainte particulière ne s’applique. Une fois la CSR enregistrée, IIS conserve une demande en attente et la clé privée correspondante dans le magasin de certificats. Après réception du certificat, utilisez « Complete Certificate Request » sur le même serveur : supprimer la demande en attente peut empêcher l’association avec sa clé.

Outils CSR en ligne : simplicité ou maîtrise de la clé privée ?

Les outils CSR en ligne remplacent la ligne de commande par un formulaire. Ils peuvent dépanner si vous n’avez pas d’accès SSH ou si vous devez préparer rapidement une demande pour un site simple. Avant de les utiliser, vérifiez précisément où la génération est effectuée et si la clé privée est envoyée à un serveur, stockée temporairement ou conservée uniquement dans le navigateur.

Pour un certificat DV classique, un outil réputé peut suffire si sa méthode de traitement correspond à votre politique de sécurité. En revanche, si la clé ne doit jamais quitter votre infrastructure, privilégiez OpenSSL, cPanel ou IIS. La même prudence s’applique aux certificats de signature de code : les clés sont généralement soumises à des exigences de stockage sécurisé et ne doivent pas être créées avec un générateur TLS générique.

• Choisissez OpenSSL si vous avez un accès serveur et souhaitez contrôler la génération de bout en bout.
• Choisissez cPanel ou IIS si votre hébergement conserve déjà les clés dans son magasin de certificats.
• Envisagez un outil en ligne pour une demande ponctuelle, après vérification de son fonctionnement et de sa politique de confidentialité.
• Préférez une génération locale si vos règles internes interdisent qu’une clé privée sorte du serveur ou de votre matériel sécurisé.

Le résultat peut respecter le même format, mais le niveau de maîtrise n’est pas identique. Une interface plus rapide ne remplace jamais la vérification de l’endroit où la clé est créée et conservée.

Vérifier la CSR et installer le certificat SSL

Avant de transmettre votre demande, contrôlez le CN, les champs d’organisation et les SAN. Une faute sur un domaine peut imposer une réémission ; un décodeur de CSR permet de lire les données encodées, mais ne prouve pas à lui seul que la clé privée conservée sur le serveur est bien la paire correspondante.

Pour inspecter une CSR avec OpenSSL, utilisez :

openssl req -in exemple.csr -noout -text

Vous pouvez ensuite coller le bloc complet, des marqueurs « BEGIN CERTIFICATE REQUEST » à « END CERTIFICATE REQUEST », dans le formulaire de commande de l’autorité. Une fois les validations effectuées, celle-ci émet le certificat et fournit souvent un ou plusieurs certificats intermédiaires. Installez-les avec la clé privée associée, puis vérifiez la chaîne et le nom de domaine avant de considérer la configuration de certificat terminée.

Les erreurs fréquentes qui bloquent une CSR

Quelques vérifications simples évitent la plupart des retours en arrière. Pour l’équipe fictive d’Atelier Luma, par exemple, sécuriser à la fois exemple.fr et www.exemple.fr exige de déclarer les deux noms : une demande portant uniquement sur www.exemple.fr ne couvre pas automatiquement le domaine sans www.

• CN incomplet ou erroné : vérifiez chaque caractère et distinguez le domaine nu de sa version avec www.
• SAN oubliés : ajoutez tous les noms de domaine que le certificat doit couvrir.
• Mauvais code pays : utilisez le code ISO à deux lettres, comme FR, et non le nom du pays.
• Clé privée perdue : sans la clé créée avec la CSR, le certificat correspondant ne pourra pas être installé.
• Informations d’organisation imprécises : pour une validation OV ou EV, reprenez les données légales exactes et évitez les abréviations non officielles.

Une CSR n’expire pas comme un certificat, mais elle est liée à sa clé privée. Au renouvellement, créer une nouvelle paire de clés est une bonne pratique ; si vous générez une nouvelle demande, transmettez-la à l’autorité et demandez une émission ou une réémission adaptée.

Questions fréquentes sur la génération de CSR

Une CSR contient-elle la clé privée ?

Non. Elle contient la clé publique et les informations d’identification, puis elle est signée avec la clé privée correspondante. La clé privée doit rester secrète et être conservée pour installer le certificat.

Comment créer une CSR pour un certificat wildcard ?

Indiquez *.exemple.fr comme nom commun, puis vérifiez les règles de l’autorité et ajoutez exemple.fr comme SAN si le domaine nu doit aussi être couvert. Un wildcard ne couvre généralement que le niveau de sous-domaine immédiatement inférieur.

Puis-je extraire une CSR d’un certificat déjà émis ?

Non. Un certificat existant ne permet pas de reconstituer la demande d’origine. Vous pouvez lire ses informations, puis créer une nouvelle CSR avec les domaines souhaités et une clé privée associée.

Que faire si la clé privée est perdue ?

Générez une nouvelle paire de clés et une nouvelle CSR, puis demandez une réémission du certificat à votre autorité. Une clé privée perdue ne peut pas être récupérée à partir de la CSR ou du certificat.