Qu'est-ce qu'un CSR ?
Un CSR (Certificate Signing Request, ou demande de signature de certificat) est le fichier que vous envoyez à une autorité de certification (CA) pour obtenir un certificat SSL/TLS. Il contient votre clé publique, les noms de domaine que le certificat doit couvrir et, en option, les informations sur votre entreprise, le tout signé avec la clé privée correspondante pour prouver que vous la détenez.
Générer un CSR crée toujours deux fichiers : le CSR, que vous collez dans le formulaire de commande de la CA, et la clé privée, qui reste sur votre serveur. La CA signe votre clé publique et vous renvoie un certificat qui ne fonctionne qu'avec cette clé.
Comment générer un CSR
Indiquez le domaine principal comme nom commun, par exemple example.com, ou *.example.com pour un certificat wildcard.
Listez les autres domaines ou sous-domaines que le certificat doit couvrir. La version www est ajoutée automatiquement, sauf si vous décochez la case.
RSA 2048 fonctionne partout. ECDSA P-256 est plus compact et plus rapide, et il est pris en charge par tous les navigateurs et serveurs modernes.
Téléchargez les deux fichiers. Collez le CSR dans le formulaire de commande de votre CA et conservez le fichier .key en lieu sûr : vous en aurez besoin pour installer le certificat.
Advertisement
Que mettre dans chaque champ du CSR ?
Le domaine principal, exactement tel que les visiteurs le saisissent : example.com ou *.example.com. Sans https:// et sans chemin.
Chaque nom que le certificat doit couvrir. Les navigateurs ne vérifient que les SAN, pas le nom commun : le générateur y inclut donc toujours aussi le CN.
La dénomination légale de votre entreprise, la ville, l'État ou la province et le pays. Les certificats à validation de domaine (DV) les ignorent ; les certificats à validation d'organisation et à validation étendue les vérifient.
Le code ISO à deux lettres, par exemple US, GB ou DE. Un nom de pays complet rend le CSR invalide auprès de la plupart des CA.
Les CA publiques ont cessé d'inclure l'OU dans les certificats en septembre 2022 : la plupart la refusent ou l'ignorent.
Rarement nécessaire. Certaines CA la suppriment complètement du certificat.
RSA ou ECDSA : quelle clé choisir ?
Le choix sûr : accepté par toutes les CA et par tous les serveurs et clients, y compris les plus anciens.
Les clés plus grandes ralentissent chaque handshake TLS. Ne les utilisez que si votre politique de sécurité l'exige.
Une robustesse comparable à RSA 3072, avec une clé bien plus petite et des handshakes plus rapides. Pris en charge par tous les navigateurs et serveurs modernes.
Pour les politiques plus strictes. Légèrement plus lent que P-256, mais toujours bien plus léger que RSA 4096.
Advertisement
Protégez votre clé privée
N'envoyez jamais la clé privée à qui que ce soit, pas même à votre autorité de certification. Une CA n'a besoin que du CSR.
Enregistrez-la avant de quitter la page. Elle n'existe que dans votre navigateur et nous ne pouvons pas la récupérer. Sans elle, le certificat est inutilisable.
Stockez-la avec des permissions restrictives sur le serveur, par exemple
chmod 600 example.com.key, afin que seul le serveur web puisse la lire.Utilisez une nouvelle clé pour chaque demande. Si une clé a pu fuiter, générez un nouveau CSR et faites réémettre le certificat.
Les certificats sont de plus en plus courts. Depuis mars 2026, les certificats TLS publics sont limités à 200 jours, et cette limite continue de baisser : automatiser le renouvellement avec ACME (par exemple Certbot) vous fait gagner du temps.
Commandes OpenSSL utiles pour les CSR
Vérifiez vos fichiers en ligne de commande, avant et après la réception du certificat :
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Plus d'outils SSL et de certificats
Une fois votre certificat émis, vérifiez-le avec ces outils gratuits :
Décodez un CSR ou un certificat et vérifiez qu'ils correspondent.
Testez le certificat installé sur n'importe quel site web.
Vérifiez HSTS et les autres en-têtes de sécurité.
Créez dans votre navigateur des clés DKIM pour signer vos e-mails.