Générateur de demande de signature de certificat

Présentation de l’outil

Une demande de signature de certificat (CSR) est la première étape pour obtenir un certificat SSL/TLS. Pour activer HTTPS sur votre site, vous générez d’abord un fichier CSR et vous le soumettez à une autorité de certification (AC) pour signature.

Notre générateur de CSR en ligne rend cette étape simple et sûre :

• Traitement entièrement local : la génération du CSR se fait dans votre navigateur. La clé privée ne quitte pas votre appareil
• Plusieurs algorithmes : RSA (2048/3072/4096 bits) et ECDSA (P-256/P-384/P-521)
• Configuration souple : ajoutez plusieurs domaines (SAN), des domaines wildcard, et d’autres options
• Aucune installation : pas besoin d’OpenSSL ni d’un autre outil en ligne de commande. Générez le CSR directement dans le navigateur

Quand générer un CSR ?

Vous avez besoin d’un CSR lorsque :

1. Vous demandez un nouveau certificat SSL : première demande de certificat SSL/TLS pour un domaine
2. Vous renouvelez un certificat qui arrive à échéance : le certificat actuel expire bientôt et doit être régénéré
3. Vous changez les informations du domaine : noms de domaine ou renseignements sur l’organisation à modifier dans le certificat
4. La clé est compromise : si vous soupçonnez une fuite de la clé privée, générez tout de suite une nouvelle paire de clés et un nouveau CSR

Choisir un algorithme de hachage pour le CSR

Les algorithmes de hachage servent à créer la signature numérique du certificat. Le bon choix compte pour la sécurité. Ce générateur de CSR prend en charge trois algorithmes courants :

SHA-256 (recommandé)

SHA-256 est aujourd’hui l’algorithme de hachage le plus répandu. Il offre le meilleur équilibre entre sécurité et performance :

• Sécurité : sortie de 256 bits, suffisante face aux attaques connues
• Compatibilité : pris en charge par les navigateurs et systèmes d’exploitation récents
• Performance : calcul rapide, adapté à la plupart des cas
• Usage recommandé : à retenir dans 99 % des cas

SHA-384

SHA-384 offre une sécurité plus élevée, avec un coût de calcul un peu plus important :

• Sécurité : sortie de 384 bits, marge de sécurité plus large
• Cas d’usage : secteurs aux exigences très élevées, comme la finance ou la santé
• Compatibilité : pris en charge par les systèmes récents

SHA-512

SHA-512 offre le niveau de sécurité le plus élevé :

• Sécurité : sortie de 512 bits, garantie la plus forte
• Impact sur les performances : calcul et vérification un peu plus lents
• Cas d’usage : rares situations avec des exigences de sécurité particulières

Choisir un algorithme de signature pour le CSR

Lorsque vous générez un CSR en ligne, vous choisissez un algorithme de signature. Deux options principales : RSA et ECDSA.

Algorithme RSA

RSA est l’algorithme de signature le plus ancien et le plus répandu :

Avantages :

• Large compatibilité : pris en charge par presque tous les appareils et navigateurs, y compris les systèmes anciens
• Éprouvé : des décennies d’usage réel
• Pris en charge par les AC : toutes les autorités de certification l’acceptent

Inconvénients :

• Clés volumineuses : il faut en général 2048 ou 4096 bits pour assurer la sécurité
• Coût en performance : le chiffrement et le déchiffrement sont relativement lents
• Certificats plus gros : les fichiers générés sont plus volumineux

Longueurs de clé recommandées :

• 2048 bits : choix standard, sûr et performant, adapté à la plupart des cas
• 4096 bits : sécurité plus élevée, avec un impact visible sur les performances, pour les exigences fortes

Algorithme ECDSA

ECDSA (Elliptic Curve Digital Signature Algorithm) est un choix plus récent :

Advantages:

• Clés compactes : une clé ECDSA de 256 bits offre une sécurité comparable à une clé RSA de 3072 bits
• Excellentes performances : signature et vérification plus rapides
• Économe en bande passante : certificat plus petit, transmission plus rapide
• Adapté au mobile : plus confortable sur les appareils limités en ressources

Disadvantages:

• Compatibilité : certains systèmes anciens ne le prennent pas en charge (par exemple Windows XP, Android 4.x et versions antérieures)
• Prise en charge par les AC : certaines autorités de certification ne l’acceptent pas, ou le facturent en supplément

Courbes recommandées :

• P-256 (secp256r1) : choix standard, largement pris en charge
• P-384 (secp384r1) : niveau de sécurité plus élevé

Que choisir ?

Générer un CSR avec OpenSSL

Le générateur en ligne suffit dans la plupart des cas. Il reste utile de savoir produire un CSR en ligne de commande. OpenSSL est l’outil le plus courant.

Demande de signature de certificat RSA

# Generate 2048-bit RSA private key and CSR
openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key \
  -out domain.csr

# Generate 4096-bit RSA private key and CSR
openssl req -new -newkey rsa:4096 -nodes \
  -keyout domain.key \
  -out domain.csr

# Request configuration section
[req]
default_bits = 2048              # RSA key size in bits
prompt = no                      # Disable interactive prompts
default_md = sha256              # Hash algorithm for signature
distinguished_name = dn          # Reference to DN section below
req_extensions = req_ext         # Reference to extensions section

# Distinguished Name (certificate subject information)
[dn]
C = US                           # Country code
ST = California                  # State or Province
L = San Francisco                # Locality (city)
O = Example Company              # Organization name
CN = autossl.dev                 # Common Name (primary domain)

# Request extensions (additional certificate attributes)
[req_ext]
subjectAltName = @alt_names      # Reference to alternative names section

# Subject Alternative Names (additional domains for this certificate)
[alt_names]
DNS.1 = autossl.dev              # Primary domain
DNS.2 = www.autossl.dev          # Subdomain with www
DNS.3 = *.autossl.dev            # Wildcard for all subdomains

openssl req -new -nodes \
  -newkey rsa:2048 \
  -keyout domain.key \
  -out domain.csr \
  -config csr.conf

openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key -out domain.csr \
  -subj "/C=US/ST=California/L=San Francisco/O=Example Company/CN=autossl.dev"

Demande de signature de certificat ECDSA

# Generate ECDSA private key using P-256 curve
openssl ecparam -genkey -name prime256v1 -out domain.key

# Using P-384 curve
openssl ecparam -genkey -name secp384r1 -out domain.key

# Generate CSR based on private key
openssl req -new -key domain.key -out domain.csr

Vérifier le CSR généré

Une fois le CSR généré, ces commandes permettent d’en vérifier le contenu :

# View detailed CSR information
openssl req -text -noout -in domain.csr

# Verify CSR signature
openssl req -verify -in domain.csr

# Extract domain information from CSR
openssl req -noout -subject -in domain.csr

Questions fréquentes

Quel lien entre le CSR et la clé privée ?

Générer un CSR produit en réalité une paire de clés : une clé privée et une clé publique. Le CSR contient la clé publique et vos informations d’identité. La clé privée doit rester confidentielle. L’AC s’appuie sur le CSR pour émettre un certificat, qui ne fonctionne qu’avec la clé privée correspondante.

Peut-on réutiliser le même CSR ?

Techniquement oui, mais ce n’est pas recommandé. Mieux vaut générer une nouvelle paire de clés et un nouveau CSR à chaque demande de certificat. Si un certificat expire ou doit être réémis, par exemple en changeant d’AC, créez une nouvelle demande de signature.

Que conserver après avoir envoyé le CSR ?

Vous devez conserver le fichier de clé privée. Une fois le certificat émis, cette clé est indispensable pour configurer SSL/TLS. Si vous la perdez, le certificat est inutilisable et il faut refaire une demande.

Quelle différence entre l’outil en ligne et la ligne de commande ?

Sur le fond, il n’y en a pas. Ce générateur de CSR utilise l’API Web Crypto pour créer les clés dans le navigateur, avec un résultat compatible avec OpenSSL. L’outil en ligne est simplement plus direct : rien à installer, aucune commande à retenir.

Bonnes pratiques

1. Longueur de clé : au moins 2048 bits pour RSA ; P-256 ou plus pour ECDSA
2. Renouvellement régulier : n’attendez pas l’expiration. Renouvelez environ 30 jours avant
3. Utilisez SHA-256 : sauf besoin particulier, c’est le meilleur choix
4. Ajoutez les SAN : si le site a plusieurs domaines (par exemple autossl.dev et www.autossl.dev), indiquez-les tous lors de la génération du CSR
5. Protégez les clés privées : droits de fichier stricts, et stockage chiffré si possible
6. Sauvegardez les clés privées : conservez une copie dans un endroit sûr, et protégez aussi cette copie

Utilisez le générateur de CSR pour créer rapidement, et en local, la demande de signature de votre site.