Générateur de CSR
CSR Generator
Produit une demande de signature de certificat et sa clé privée à partir des champs du sujet et des entrées SAN, sans envoi de fichier, tout dans votre navigateur.
Engendre une paire de clés et une demande de signature de certificat PKCS#10 dans votre navigateur. La clé privée est fabriquée par WebCrypto dans cet onglet et n’est jamais envoyée nulle part — ce qui est le seul arrangement acceptable, puisqu’un générateur de CSR qui voit votre clé privée est une autorité de certification que vous n’avez pas choisie.
La paire de clés est produite par WebCrypto dans votre navigateur et la clé privée ne quitte pas cet onglet. Rien n’est envoyé à un serveur.
Le domaine principal. Les autorités de certification délivrent en réalité d’après la liste SAN ci-dessous.
Les noms hors ASCII ne posent pas de problème : ils sont encodés en UTF8String.
Deux lettres, ISO 3166.
Séparés par des retours à la ligne ou des virgules. Domaines, wildcards, adresses IP, adresses e-mail. Indiquez tous les noms pour lesquels le certificat doit être valable.
Comment s’en servir
Remplissez le sujet
CN est le domaine principal ; O, OU, L, ST et C sont des champs d’organisation qu’une AC publique ignore le plus souvent pour un certificat validé par domaine. Les noms d’organisation non-ASCII passent très bien — ils sont encodés en UTF8String, donc les accents français y survivent.
Listez tous les noms dans le champ SAN
C’est la partie qui compte. Les navigateurs ignorent complètement le CN et ne lisent que la liste SAN (RFC 6125 §6.4.4), donc chaque nom d’hôte que le certificat doit couvrir va ici — apex, www, wildcards, adresses IP.
Choisissez le type de clé
RSA 2048 est le plus compatible, RSA 3072 est le niveau recommandé au-delà de 2030, et EC P-256 donne une clé plus courte et une poignée de main plus rapide, prise en charge partout où c’est à jour.
Enregistrez la clé privée avant de partir
Elle n’existe que dans cet onglet. Téléchargez-la, posez-la sur le serveur, et gardez le fichier illisible pour tout le reste — la CSR seule ne sert à rien sans elle.
Questions fréquentes
La clé privée reste-t-elle vraiment ici ?
Oui. WebCrypto engendre la paire dans l’onglet et il n’existe aucune requête qui l’emporte. Fermez l’onglet avant de la télécharger et elle a disparu — c’est la même propriété qui la rend sûre.
Le CN est rempli mais l’AC a rejeté la demande
Vérifiez la liste SAN. La plupart des AC exigent désormais chaque nom dedans et traitent une demande avec CN seul comme ne nommant rien. Laisser « inclure le CN dans la liste SAN » actif est presque toujours le bon choix.
Puis-je m’en servir pour un certificat wildcard ?
Oui — mettez *.example.com dans la liste SAN. Notez qu’il ne couvre qu’un seul niveau : *.example.com correspond à www.example.com et non à a.b.example.com, et il ne correspond pas à example.com lui-même, qu’il faut donc lister à part.
Pourquoi y a-t-il aussi une commande openssl ?
Pour que vous puissiez recouper ce résultat, ou faire la même demande sur le serveur à la place. La ligne de vérification — openssl req -in server.csr -noout -text -verify — relit exactement ce qui est dans le fichier que vous avez téléchargé.
À alimenter depuis
Générateur de paire de clés
Key Pair Generator
Produit des paires de clés RSA, ECDSA ou Ed25519 et les exporte en PEM, en JWK ou en OpenSSH.
Décodeur de certificat
Certificate Decoder
Analyse un certificat ou une demande de signature au format PEM ou DER et affiche le sujet, les SAN, la validité, les usages de clé et des indices sur la chaîne.
Vérificateur de certificat SSL
SSL Certificate Checker
Se connecte à un hôte, montre la chaîne servie, l’expiration, les protocoles et les suites de chiffrement acceptés, et signale les trous dans la chaîne.
Inspecteur de magasin de clés
Keystore Inspector
Ouvre les paquets PKCS#12, JKS ou PEM et liste les certificats, les chaînes et les algorithmes de clé qu’ils contiennent.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Décodeur de certificat
Certificate Decoder
Analyse un certificat ou une demande de signature au format PEM ou DER et affiche le sujet, les SAN, la validité, les usages de clé et des indices sur la chaîne.
Générateur de paire de clés
Key Pair Generator
Produit des paires de clés RSA, ECDSA ou Ed25519 et les exporte en PEM, en JWK ou en OpenSSH.
Vérificateur de certificat SSL
SSL Certificate Checker
Se connecte à un hôte, montre la chaîne servie, l’expiration, les protocoles et les suites de chiffrement acceptés, et signale les trous dans la chaîne.
Interrogation DNS
DNS Lookup
Interroge les enregistrements A, AAAA, CNAME, MX, TXT, NS, SOA, SRV, CAA et PTR via DoH, avec le TTL et le bit DNSSEC affichés, chez Cloudflare ou Google.
Constructeur de requêtes HTTP
HTTP Request Builder
Compose et envoie une requête GET, POST, PUT, PATCH, DELETE ou HEAD avec en-têtes et corps personnalisés, et montre le statut, les en-têtes, le corps et le temps de réponse — sans jamais transmettre de cookies ni d’en-tête Authorization.
Inspecteur d’en-têtes HTTP
HTTP Header Inspector
Interroge une adresse et montre les en-têtes de réponse complets, la chaîne de redirections, les temps de réponse et la compression employée.