CSR (demande de signature de certificat) — fichier .csr

Le CSR ne contient pas un certificat mais une demande : une clé publique accompagnée d’informations d’identité (nom de domaine, organisation), signée par la clé privée correspondante pour prouver qu’on en possède bien la moitié secrète, à transmettre à une autorité de certification qui délivrera en retour un certificat signé.

Le plus souvent encodé en texte PEM (“—–BEGIN CERTIFICATE REQUEST—–”), il peut aussi exister sous forme binaire DER — dans les deux cas sans signature binaire fiable et distinctive, la structure ASN.1 sous-jacente étant partagée avec de nombreux autres objets cryptographiques. Une fois le certificat émis à partir de ce CSR, la clé privée d’origine ne doit jamais quitter la machine qui l’a générée.

Cette signature par la clé privée constitue une “preuve de possession” : elle démontre à l’autorité de certification que le demandeur détient bien la clé privée correspondant à la clé publique fournie, sans jamais avoir à révéler cette clé privée elle-même à l’autorité.

Le champ “Subject Alternative Name” du CSR, aujourd’hui pratiquement indispensable, permet de demander un certificat valide pour plusieurs noms de domaine à la fois (par exemple un domaine principal et ses variantes avec ou sans www), une extension largement adoptée après que les navigateurs ont cessé de se fier au seul champ Common Name historique.

Le protocole ACME popularisé par Let’s Encrypt a largement automatisé ce qui nécessitait auparavant de générer manuellement un CSR via OpenSSL : un client ACME (comme Certbot) crée désormais la clé, le CSR et récupère le certificat signé en une seule commande, sans intervention humaine directe sur ce fichier intermédiaire.