CSR, clé privée et certificat
Pour obtenir un certificat, tu crées d’abord une paire de clés. La clé privée reste chez toi ; la clé publique part avec les noms de domaine dans une demande de signature de certificat (CSR). L’AC valide le domaine, signe et te renvoie le certificat. Il ne fonctionne qu’avec la clé exacte dont est issu le CSR.
Ce que contient un CSR
- Noms (SAN) : tous les domaines que le certificat doit couvrir. Les navigateurs ne regardent que cette liste ; le Common Name seul ne suffit plus depuis des années. L’outil l’ajoute donc automatiquement comme SAN.
- Clé : RSA 2048 est le standard compatible. ECDSA P-256 est plus court, plus rapide et tout aussi sûr, et tous les systèmes actuels le prennent en charge.
- Organisation, ville, pays : seulement utiles pour les certificats OV et EV. Pour les certificats validés par domaine (p. ex. Let's Encrypt), l’AC les ignore.
Générer dans le navigateur ou sur le serveur ?
Le générateur crée la clé et le CSR avec WebCrypto dans ton navigateur ; rien n’est transmis. Si la clé ne doit jamais exister hors du serveur, utilise la commande OpenSSL affichée ou, sous Windows, le modèle certreq. La clé reste alors dans le magasin de certificats du serveur.
Correspondance : la clé et le certificat vont-ils ensemble ?
Des erreurs comme « key values mismatch » (nginx, Apache), « The certificate's private key is missing » (IIS) ou « private key does not match public key » signifient presque toujours que le certificat appartient à une autre clé, souvent à un ancien CSR. L’outil calcule l’empreinte de la clé publique de chaque certificat, clé et CSR et montre ce qui va ensemble. Les clés PKCS#8 chiffrées se vérifient avec leur mot de passe.
FAQ
Est-il sûr de créer la clé dans le navigateur ?
La clé est créée avec WebCrypto, à partir du générateur aléatoire de ton système, et ne quitte jamais ton navigateur. Pour plus de rigueur, utilise la commande OpenSSL ou certreq et crée la clé directement sur le serveur.
RSA ou ECDSA ?
ECDSA P-256 est plus rapide et aussi sûr que RSA 3072. Choisis RSA 2048 si de très anciens clients ou appareils (certaines imprimantes, anciennes versions de Java) doivent fonctionner.
Mon certificat ne correspond pas à la clé. Que faire ?
Mets le certificat, la clé et le CSR si tu l’as dans l’outil de correspondance. S’ils appartiennent à des clés différentes, le certificat a été émis pour un autre CSR. Retrouve la bonne clé ou fais réémettre le certificat avec un nouveau CSR, gratuitement chez la plupart des AC.
Comment obtenir un fichier PFX pour Windows ?
Charge le certificat et la clé privée dans le convertisseur de certificats et choisis PFX. La chaîne est complétée automatiquement.
Pourquoi l’AC refuse-t-elle mon CSR ?
Raisons fréquentes : noms internes (.local, .interne) ou IP privées, clé RSA de moins de 2048 bits, liste SAN absente ou clé déjà utilisée. L’onglet « Vérifier un CSR » signale ces points.