Que sont les fichiers CSR et comment sont-ils créés?

Un fichier de demande de signature de certificat (RSE) c'est quelque chose que vous générez et soumettez à une autorité de certification, qui à son tour signe et vous envoie le certificat SSL demandé qui a été utilisé pour activer HTTPS sur votre serveur Web.

Qu'est-ce qu'un dossier RSE?

Les fichiers CSR contiennent des informations sur votre organisation et le type de certificat que vous demandez. En général, sont générés automatiquement à l'aide d'un utilitaire comme OpenSSL. Si vous utilisez LetsEncrypt, certbot gère pour vous la création des dossiers CSR.

Les fichiers CSR contiennent les informations suivantes:

• Nom comun (CN): le nom d'hôte de votre serveur. Cette doit correspond exactement, ou vos utilisateurs verront une page d'erreur dans leur navigateur indiquant que le certificat n'est pas approuvé. Vous pouvez utiliser des caractères génériques (p. Pas., *.domain.com) pour demander un certificat générique qui s'applique à tous les sous-domaines. Un caractère générique comme celui-ci s'applique à www, mais si vous voulez protéger votre domaine racine et tous les sous-domaines, vous aurez besoin de deux certificats distincts. Le nom commun est le seul champ techniquement requis, vous pouvez donc laisser tout le reste vide si vous le souhaitez. Malgré cela, c'est bien de compléter les autres.
• Organisation (O): le nom légal complet de votre entreprise, y compris les suffixes, en tant que SARL. Si vous demandez un certificat EV ou OV (qui sont complètement inutiles), doit être validé. Malgré cela, pour un SSL normal, peut mettre n'importe quoi, puisqu'il n'est pas vérifié et qu'il n'est même pas obligatoire.
• Unité organisationnelle (OU): la division de votre entreprise qui gère le certificat.
• Pays (C): le code à deux lettres du pays dans lequel vous vous trouvez.
• État / comté / Région (S): le nom complet de l'état dans lequel vous vous trouvez.
• Ville / localité (L): le nom complet de la ville où vous vous trouvez.
• Adresse éléctronique: l'adresse e-mail de votre organisation.
• La clé publique RSA utilisée

Le seul qui affecte la façon dont votre fichier CSR est traité est son nom commun. Le nom de domaine devra être validé pour vous empêcher d'enregistrer le domaine de quelqu'un d'autre; Plus tard dans la procédure, l'autorité de certification vous enverra un défi pour prouver que vous êtes le propriétaire du domaine, mais le fichier CSR n'a aucun effet là-dessus.

EN RELATION: Qu'est-ce qu'un fichier PEM et comment est-il utilisé?

Le fichier CSR lui-même est au format PEM et est un gros morceau de données encodées en base64:

-----COMMENCER LA DEMANDE DE CERTIFICAT -----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-----END CERTIFICATE REQUEST-----

Malgré cela, vous ne voulez pas modifier cela manuellement; à sa place, vous pouvez utiliser un outil comme OpenSSL pour le générer sur votre serveur.

Comment créer un fichier CSR

Si votre serveur fonctionne sous Linux, vous avez probablement déjà installé OpenSSL si vous avez installé Apache ou Ubuntu. Si ce n'est pas comme ça, vous pouvez l'installer depuis le gestionnaire de paquets de votre distribution:

sudo apt-get install openssl

Après, exécutez la commande suivante pour démarrer l'assistant de création de CSR:

openssl req -new -newkey rsa:2048 -nœuds -keyout server.key -out server.csr

Cela générera une nouvelle clé privée à utiliser tout au long de la procédure et l'enregistrera dans server.key. Ensuite, il vous sera demandé vos informations; vous pouvez laisser la majeure partie vide si vous le souhaitez, mais assurez-vous que le nom commun est correct.

Votre demande de signature sera enregistrée dans server.csr. Votre clé publique est incluse dans cette demande, mais vous voudrez conserver la clé privée pour les futurs renouvellements.

Après, Vous devrez fournir à votre autorité de certification le fichier CSR pour poursuivre la procédure de création de certificat SSL. Si vous utilisez certbot, cela est géré automatiquement et vous n'aurez pas du tout à vous soucier des fichiers CSR.