Qu'est-ce qu'une demande de signature de certificat (CSR) ?

Un CSR (Certificate Signing Request, demande de signature de certificat) est un petit fichier texte encodé qui contient des informations sur l’organisation et sur le nom de domaine que vous souhaitez sécuriser. Il est nécessaire pour activer un certificat SSL numérique et, en règle générale, il est généré sur le serveur où le certificat doit être installé. Le CSR est soumis à l’autorité de certification, qui l’utilise pour générer le certificat.

Pour savoir comment générer le code CSR, vous pouvez consulter la documentation de votre serveur ou l’article suivant de notre base de connaissances, qui couvre les types de serveurs les plus courants.

La demande de signature de certificat doit contenir les informations suivantes :

Common name (CN) : domaine principal du certificat, c’est-à-dire le nom de domaine pleinement qualifié pour lequel le SSL sera activé (par ex. example.com). Pour les certificats Wildcard, le nom de domaine doit être précédé d’un astérisque (par ex. *.example.com).

Locality (L) : la ville où se trouve l’entreprise ou le demandeur (par ex. Los Angeles). Ce paramètre ne doit pas être abrégé.

State (S) : l’État, le département ou la région où se trouve l’entreprise ou le demandeur (par ex. California).

Country (C) : le code à deux lettres du pays où se trouve l’entreprise ou le demandeur (par ex. US).

Organization (O) : le nom officiellement enregistré de l’organisation qui demande le certificat (par ex. Ruachost Inc.). Pour les certificats Organization Validation et Extended Validation, les autorités de certification vérifieront l’organisation indiquée. Pour les certificats SSL Domain Validation, ce champ n’est pas déterminant et ses informations ne figureront pas sur le certificat émis ; il doit toutefois être renseigné.

Organization Unit (OU) : le nom du service ou de la division au sein de l’organisation indiquée (par ex. SSL Support).

Email Address : une adresse e-mail de l’entreprise ou du demandeur. Ce champ est facultatif.

Le code CSR peut contenir des champs SAN (Subject Alternative Name, nom alternatif du sujet), qui servent aux domaines supplémentaires que vous souhaitez inclure dans un certificat multidomaine. Certains serveurs web et générateurs de CSR proposent des champs SAN lors de la génération du CSR. Vous pouvez les utiliser si vous êtes sûr des domaines et du nombre de domaines à sécuriser. Vous n’êtes pas obligé de remplir les champs SAN lors de la génération du code CSR. Si le code CSR est généré avec des champs SAN, notre système essaiera de les reprendre automatiquement dans les cases correspondantes des domaines supplémentaires lors de l’activation d’un certificat multidomaine. Si le CSR a été généré pour le domaine principal uniquement, les domaines supplémentaires doivent être saisis manuellement lors de l’activation.

Le code CSR contient aussi la clé publique qui sera incluse dans votre certificat. Le chiffrement des données par les certificats SSL repose sur l’utilisation de deux clés : une publique et une privée. La clé publique (intégrée au code CSR et au certificat émis) sert à chiffrer les données avant leur envoi au serveur sur lequel le certificat est installé. Elle est transmise à chaque internaute qui envoie des informations sur un site protégé par le certificat. Le code CSR est généré en même temps que la clé privée. La clé privée (clé RSA) est nécessaire pour déchiffrer les données chiffrées avec une clé publique. Seul le serveur qui possède la clé RSA peut déchiffrer les données. C’est ce qui rend la transmission de données via SSL sûre et sécurisée. La clé privée ne doit jamais être communiquée à des tiers, car cela pourrait compromettre le certificat. Si la clé privée a été perdue ou compromise, le certificat doit être réémis avec un nouveau code CSR généré en même temps qu’une nouvelle clé RSA, et le certificat initial doit être révoqué pour éviter tout problème de sécurité.

La taille minimale possible pour les clés RSA est de 2048 bits. Elle est considérée comme robuste, et il n’est pas vraiment nécessaire de renforcer la clé privée. Toutefois, les certificats Comodo (désormais Sectigo) peuvent aussi être activés avec des clés de 4096 et 8192 bits. N’oubliez pas que tous les appareils ne prennent pas en charge les clés renforcées !

Le CSR est un code en Base-64 qui commence par l’en-tête —–BEGIN CERTIFICATE REQUEST—– et se termine par le pied de page —–END CERTIFICATE REQUEST—– (les codes CSR générés sur des serveurs Windows comportent les balises —–BEGIN NEW CERTIFICATE REQUEST—– et —–END NEW CERTIFICATE REQUEST—–). Lors de l’activation du certificat, copiez le code CSR, en-tête et pied de page compris, dans la page d’activation.

Vous trouverez ci-dessous un exemple de demande de signature de certificat :

—–BEGIN CERTIFICATE REQUEST—–

MIIDFTCCAf0CAQAwejELMAkGA1UEBhMCVVMxEzARBgNVBAgTCkNhbGlmb3JuaWEx

FDASBgNVBAcTC0xvcyBBbmdlbGVzMRQwEgYDVQQKEwtTU0wgU3VwcG9ydDEUMBIG

A1UECxMLU1NMIFN1cHBvcnQxFDASBgNVBAMTC2V4YW1wbGUuY29tMIIBIjANBgkq

hkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwPOIBIoblSLFv/ifj8GDCNL5NhDX2JVU

QKcWC19KtWYQg1HPnaGIy+Dj9tYSBw8T8xc9hbJ1TYGbBIMKfBUzKoTt5yLdVIM/

HJm3m9ImvAbK7TYcx1U9TJEMxN6686whAUMBr4B7ql4VTXqu6TgDcdbcQ5wsPVOi

FHJTTwgVwt7eVCBMFAkZn+qQz+WigM5HEp8KFrzwAK142H2ucuyfgGS4+XQSsUdw

NWh9GPRZgRt3R2h5ymYkQB/cbg596alCquoizI6QCfwQx3or9Dg1f3rlwf8H5HIV

H3hATGIr7GpbKka/JH2PYNGfi5KqsJssVQfu84m+5WXDB+90KHJEcwIDAQABoFYw

VAYJKoZIhvcNAQkOMUcwRTAJBgNVHRMEAjAAMAsGA1UdDwQEAwIF4DATBgNVHSUE

DDAKBggrBgEFBQcDATAWBgNVHREEDzANggtleGFtcGxlLmNvbTANBgkqhkiG9w0B

AQUFAAOCAQEAgBSVMeTB9pfgZCllMPBFffeduMePyDA1SzLYjSFkh660sFFiwGAV

MTnnYFHH3k6ueRVal3gzxZJ6ehr+ms1/CRO8rlY+B6geMCbGCbCvcAET0n505aYH

v8vlvqrdSx8Ur/9sisbynCkdk2qgc3rbnDbsAAonZIXf+blacaYTZdGUxso6qtY6

6mhI+ulqmkDk3Quc02ityvuGEbN8UuUGxc+kg0aIqMWWNKUGpTq/aRWpC7kuCUFZ

fmvPwnMhzgKBPzOXwyauVxAV0Mm/1uwPu9GNVQDgewy4Rjbm5bNwIjce3W1tVMWT

FR+x0BtV+D2A62fJWB2Yv9oERJbZQnvLqw==

—–END CERTIFICATE REQUEST—–

Vous pouvez vérifier les informations du CSR avec cet outil de décodage.