C'est quoi un CSR et quand en as-tu besoin ?
Un CSR est le format standard utilisé pour commander un certificat SSL/TLS auprès d'une autorité de certification (Let's Encrypt, DigiCert, Sectigo). Tu remplis les détails de ton domaine, cliques sur Générer, et reçois deux fichiers : un CSR (tu l'envoies à la CA) et une clé privée (tu la gardes sur ton serveur, jamais à partager).
Ici tu génères la paire directement dans ton navigateur. On supporte RSA 2048/3072/4096 et ECDSA P-256/P-384 (le défaut moderne, clés plus petites). Ajoute des SANs si le certificat doit inclure www, api, blog, etc.
Le deuxième onglet : colle un CSR existant et on décodera le sujet, les SANs et l'algorithme pour que tu puisses vérifier avant l'envoi à une CA.
Tout tourne en local. La clé privée est générée dans ton navigateur et jamais transmise.
Comment l'utiliser
- Onglet Générer : entre le Common Name (CN), le domaine principal pour lequel tu veux le certificat (par exemple example.com).
- Ajoute l'organisation (O), l'unité (OU), la ville (L), l'état (ST) et le pays (C, un code ISO de 2 lettres : FR, US, GB, DE).
- Le champ SANs est une liste de domaines supplémentaires séparés par virgules (par exemple www.example.com, api.example.com). La plupart des certificats couvrent au moins « example.com » et « www.example.com ».
- Choisis l'algorithme : RSA 2048 pour compatibilité maximale, ECDSA P-256 pour la vitesse et les stacks modernes (recommandé par Let's Encrypt en 2025).
- Clique sur Générer, récupère deux fichiers : un CSR (envoie à ta CA, par exemple colle dans le panneau de contrôle Let's Encrypt) et une clé privée (garde-la sur ton serveur, jamais à partager).
- Onglet Décoder : colle un CSR existant (par exemple un généré par OpenSSL) et vois le sujet, les SANs et l'algorithme. Vérifie-le avant l'envoi à une CA.
Quand l'utiliser
Cinq situations courantes où tu dois générer un CSR :
- Certificat Let's Encrypt pour ton propre serveur. La plupart utilisent certbot/acme.sh (CSRs automatiques), mais pour des setups manuels ou cas inhabituels, tu en génères un toi-même.
- Certificat SSL commercial de DigiCert, Sectigo, GlobalSign. Les certs payants exigent toujours un CSR de ton serveur.
- **Certificat wildcard (*.example.com)**. Mets CN = « *.example.com » pour couvrir chaque sous-domaine.
- Certificat intranet / staging. Le CSR sera signé par la CA interne de ton entreprise.
- Migrer un certificat vers un nouveau serveur. Nouveau CSR + nouvelle clé évite d'exposer l'ancienne clé.
Pour inspecter un certificat live, utilise le SSL Cert Inspector. Pour générer une clé de signature JWT, voir le générateur de paire de clés JWT.