Générer un CSR sous Windows avec OpenSSL

• Étape 1 : installer OpenSSL sur votre PC Windows
• Étape 2 : configurer OpenSSL
• Étape 3 : générer le code CSR

Lors de la configuration SSL, si vous utilisez un système Windows, il peut arriver que vous deviez générer votre CSR (demande de signature de certificat) et votre clé privée en dehors du magasin de clés Windows. Cela peut être utile, par exemple, si vous souhaitez sauvegarder votre certificat SSL ou l’importer sur plusieurs serveurs. Voici les étapes à suivre pour générer un CSR avec l’outil OpenSSL :

Étape 1 : installer OpenSSL sur votre PC Windows

1.1. Cliquez ici et rendez-vous au tableau Third Party OpenSSL Related Binary Distributions.

Remarque : nous recommandons cette liste de binaires, car elle propose de télécharger des fichiers exécutables prêts à l’emploi. C’est plus pratique que de télécharger des fichiers binaires depuis le site officiel.

1.2. Sélectionnez l’une des options OpenSSL pour Windows en choisissant la description (Description) qui vous correspond.

1.3. Vous trouverez une section de téléchargement comme dans cet exemple : faites défiler la page jusqu’à Download Win32/Win64 OpenSSL. Téléchargez la dernière version Light d’OpenSSL selon votre version de Windows, c’est-à-dire « Win32 » ou « Win64 ». Si vous ne savez pas quelle version de Windows vous avez, téléchargez OpenSSL 32 bits.

1.4. Double-cliquez pour lancer l’installation et suivez les étapes. Une fois l’opération terminée, l’application OpenSSL sera installée sur le serveur. Voici quelques-uns des écrans d’installation que vous verrez :

*Remarque : par défaut, le dossier de base d’OpenSSL sera téléchargé sur le lecteur C de votre PC. Il portera le nom de la version d’OpenSSL que vous avez sélectionnée.*

Étape 2 : configurer OpenSSL

2.1. Ouvrez Cmd (l’invite de commandes Windows). Pour cela, appuyez sur win+R sur votre clavier. Tapez ensuite cmd et cliquez sur OK.

Le terminal cmd s’affiche alors :

2.2. Accédez au dossier de base d’OpenSSL en exécutant (en saisissant) la commande suivante dans cmd :

cd OpenSSL base folder

Remarque : le chemin vers le dossier de base d’OpenSSL installé sur votre PC ressemblera à C:\OpenSSL-Win32 ou C:\OpenSSL-Win64.

2.3. Exécutez maintenant la commande suivante dans cmd :

*set OPENSSL_CONF=OpenSSL base folder\bin\openssl.cfg*

2.4. Redémarrez votre ordinateur pour appliquer les modifications.

Étape 3 : générer le code CSR

3.1. Accédez au sous-dossier \bin de votre dossier OpenSSL en exécutant cette commande :

*cd bin*

3.2. Générez le code CSR et la clé privée de votre certificat en exécutant cette commande :

*openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server_csr.txt*

Remarque : server.key et server_csr.txt sont les fichiers de la clé privée et du code CSR. Vous pouvez utiliser n’importe quels noms de fichiers, à condition de conserver les extensions .key et .txt.

Astuce : si vous souhaitez générer la clé privée et le code CSR directement dans un autre emplacement, sautez l’étape 3.1. et remplacez la partie openssl de la commande par OpenSSL base folder\bin\openssl.exe :

OpenSSL base folder\bin\openssl.exe req -new -newkey rsa:2048 -nodes -keyout Some path\server.key -out Some path\server_csr.txt

3.3. Remplissez les champs obligatoires :

• Country (pays) : utilisez un code pays valide à 2 lettres.
• State or Province (État ou province) : indiquez le nom de votre État ou de votre province, ou le nom de votre localité si vous n’en avez pas.
• Locality or City (localité ou ville) : indiquez le nom de votre ville, commune ou autre localité.
• Company (entreprise) : indiquez le nom de votre entreprise ou organisation, ou saisissez NA (Not Applicable, non applicable).
• Organizational Unit (unité organisationnelle) : indiquez le nom de votre unité ou service, ou saisissez NA (Not Applicable, non applicable).
• Common Name (nom commun) : saisissez ici votre nom de domaine (par exemple www.example.com ou example.com), ou *.domain_name (par exemple *.example.com) si vous utilisez un SSL de type Wildcard.

Remarque : pour « Email Address », « challenge password » et « optional company name », appuyez simplement sur Entrée pour les laisser vides, car ce sont des champs hérités.

Vous pouvez aussi exécuter la commande suivante, qui contient déjà tous les paramètres. Remplacez les informations par défaut par vos valeurs réelles dans la commande avant de la copier-coller dans cmd et d’appuyer sur Entrée :

*openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server_csr.txt -subj “/C=Country/ST=State or Province/L=Locality or City/O=Company/OU=Organizational unit/CN=Common Name”*

3.4. Cela crée un fichier de clé privée (.key) et un fichier de code CSR (.txt) dans OpenSSL base folder\bin. Ouvrez le fichier CSR directement avec n’importe quel éditeur de texte, ou avec le Bloc-notes à l’aide de cette commande :

*notepad server_csr.txt*

3.5. Copiez le code créé, y compris —–BEGIN CERTIFICATE SIGNING REQUEST—– et —–END CERTIFICATE SIGNING REQUEST—–, pour activer votre certificat SSL.

Remarque : si le CSR a été généré de cette manière mais que le certificat doit être installé sur un serveur Windows (par exemple IIS), vous devrez générer le fichier PFX à partir du certificat et de la clé privée. Pour cela, utilisez cette commande :

openssl pkcs12 -export -out your certificate.pfx -inkey server.key -in your certificate.p7b

Vous pouvez aussi, à la place de cette commande, utiliser un outil en ligne comme cet exemple. Importez-le ensuite sur le serveur Windows.