Demande de signature de certificat
# Demande de signature de certificat

Dans une infrastructure PKI (en anglais Public Key Infrastructure soit infrastructure à clés publiques), une demande de signature de certificat (en anglais CSR pour Certificate Signing Request) est un message envoyé à partir d'un demandeur à une autorité de certification afin de demander un certificat d'identité numérique. Le format le plus commun pour les CSR est la spécification PKCS#10.

## Procédure

Avant de créer un CSR, le requérant crée une paire de clés (une publique et une privée) en gardant la clé privée secrète. Le CSR contient des informations d'identification du demandeur (examiné comme un nom unique dans le cas d'un certificat X.509), et la clé publique choisie par le demandeur. La clé privée correspondante n'est pas incluse dans le CSR, mais est utilisée pour signer numériquement la demande. Le CSR peut être accompagné d'autres informations d'identification ou des preuves d'identité requises par l'autorité de certification, et l'autorité de certification peut contacter le demandeur pour plus d'informations.

Si la demande est acceptée, l'autorité de certification retourne un certificat d'identité signé numériquement avec la clé privée de l'autorité de certification.

Voici les informations typiquement présentes dans un CSR : Note : les informations entre parenthèses dans la colonne informations constituent une fois assemblées le nom complet qui sera employé dans le certificat.

| Information | Description |
| - | - |
| Common Name (CN=) | Le nom complet (FQDN) du domaine Internet à sécuriser par exemple « www.wikipedia.org ». |
| Nom de l'entreprise / Organisation (O=) | Nom d'une société ou d'une association légalement constituée. |
| Nom du département / Unité Organisationnelle (OU=) | Par exemple RH, finance, informatique |
| Localité (L=) | Par exemple Paris, Londres |
| Province, Région ou État (ST=) | Par exemple Normandie, Ile-de-France |
| Pays (C=) | Le code à deux lettres ISO pour le pays où est situé l'organisme. Par exemple FR, CA |
| Une adresse e-mail | Une adresse e-mail pour contacter l'organisation. Habituellement l'adresse email de l'administrateur de certificats |

## Exemple

Voici une demande de certificat en format PEM (le format PEM est le résultat du codage base64 du format PKCS#10 qui est en ASN.1).

La sous-commande req de OpenSSL permet de créer rapidement de tels fichiers mais également d'en afficher le contenu :

La sous-commande asn1parse décode le format ASN.1 dont est composée cette demande de certificat (l'option -i ajoute l'indentation de la structure) :

