Générateur de CSR

Cette page crée une paire de clés dans votre navigateur et signe avec elle une requête de certification PKCS#10. Vous obtenez deux fichiers à la fin : la clé privée au format -----BEGIN PRIVATE KEY----- (PKCS#8) et la requête au format -----BEGIN CERTIFICATE REQUEST-----, ainsi que la forme DER brute que demande généralement un portail d’autorité. Remplissez les champs du sujet, ajoutez les noms que le certificat doit couvrir, appuyez sur Générer, et ne transmettez que la requête à votre autorité de certification — le fichier de clé reste chez vous.
1. Clé
RSA 2048 bit, signed with SHA-256.
RSA 2048 est accepté partout et constitue le choix sûr par défaut. 3072 et 4096 demandent plus de temps de génération — sur une machine lente, RSA 4096 peut prendre plusieurs secondes ; cette page affiche le temps écoulé et vous permet de laisser le calcul se terminer sans attendre.
2. Sujet
Les champs laissés vides sont totalement omis de la requête. CN est limité à 64 caractères, et les autorités de certification commerciales l’ignorent de plus en plus — ce qu’elles et les navigateurs vérifient, ce sont les noms alternatifs du sujet ci-dessous.
3. Noms alternatifs du sujet
Une entrée par ligne. Une ligne sans préfixe est traitée comme un nom DNS, si bien que www.example.com et dns:www.example.com ont le même sens ; une adresse littérale comme 192.0.2.10 est prise pour une adresse IP même sans préfixe. Les préfixes dns:, ip:, email: et uri: sont reconnus. Un joker n’est autorisé que comme première étiquette (*.example.com), car les navigateurs l’ignorent partout ailleurs.
4. Génération
rien n’est encore généré
Résultat
Rien n’est encore généré. Renseignez au moins un nom commun, appuyez sur Générer la clé et la requête, et la clé privée et la requête apparaîtront ici avec des boutons pour les enregistrer.
Utilisez cette paire pour les tests, les services internes et l’apprentissage. Une clé générée dans une page web n’est aussi sûre que la machine qui l’exécute, et la clé privée que vous téléchargez n’est pas chiffrée : quiconque ouvre ce fichier possède votre clé. Pour un certificat que l’internet public doit approuver, laissez votre autorité de certification ou votre propre serveur générer la clé, et conservez-la à un endroit où elle ne peut pas être copiée.
Ce qu’est une CSR : une requête PKCS#10 contient votre clé publique, les champs de nom que vous avez saisis et les noms que le certificat doit couvrir, le tout étant signé avec votre clé privée. La signature prouve que la requête n’a pas été modifiée en chemin vers l’autorité de certification. Votre clé privée ne fait pas partie de la requête et ne peut pas en être retrouvée.

Ce que cette page ne fait pas : elle ne contacte aucune autorité de certification, n’enregistre rien, et ne peut pas vous dire si votre autorité acceptera ces champs — chaque autorité ajoute ses propres règles. Elle ne chiffre pas non plus le fichier de clé ; si vous en avez besoin, enveloppez la clé dans un chiffrement PKCS#8 ou un conteneur PKCS#12 avec vos propres outils.

Confidentialité : la paire de clés est générée par la cryptographie propre au navigateur et la requête est signée ici. Aucun envoi, aucun serveur, aucun cookie, aucune statistique — la page fonctionne aussi bien depuis un fichier local. Lorsque vous décodez le résultat, le décodeur de certificats le relit lui aussi sans aucun accès réseau.

Et ensuite : collez la requête dans le formulaire de commande de votre autorité, ou signez-la vous-même avec le générateur de certificat auto-signé pour voir tout le parcours, de la clé au certificat.