Comment générer une CSR sur NGINX

Dans ce tutoriel, nous allons vous montrer comment générer un CSR sur NGINX.

NGINX ne génère pas de CSR lui-même. Vous créez la clé privée et la CSR avec OpenSSL, puis vous configurez NGINX pour qu’il utilise le certificat émis et la clé via ssl_certificate et ssl_certificate_key.

Étape 1 : Connexion au terminal de votre serveur

Utilisez SSH pour vous connecter à votre serveur

Étape 2 : Créer la clé privée

À l’invite, exécutez la commande suivante :

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out yourdomain.key

Remplacez exemple par votre nom de domaine actuel. Par exemple, si vous voulez sécuriser www.yourdomain.com, entrez yourdomain.key et yourdomain.csr

Note sur la protection des clés : Si vous générez une clé non chiffrée (par défaut ici), définissez des permissions strictes (par exemple, chmod 600 yourdomain.key). Les clés non chiffrées permettent à NGINX de démarrer sans phrase d’authentification. Si vous cryptez la clé, utilisez le fichier ssl_password_file de NGINX pour fournir la phrase de passe au démarrage/rechargement.

3. Créez le CSR avec les SAN

Exécutez la commande ci-dessous :

openssl req -new -sha256 -key example.key -out example.csr \
-subj "/C=US/ST=Georgia/L=Atlanta/O=Your Company LLC/CN=yourdomain.com" \
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Remplacez l’espace réservé à votre domaine par vos vrais noms d’hôtes.

Si votre OpenSSL n’a pas de -addext (plus ancien que la version 1.1.1), utilisez un fichier de configuration. Créez san.cnf :

[ req ]
default_bits = 2048
prompt = no
distinguished_name = dn
req_extensions = req_ext

[ dn ]
C = US
ST = Georgia
L = Atlanta
O = Your Company LLC
CN = example.com

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = votredomaine.com
DNS.2 = www.yourdomain.com

Exécutez ensuite la commande suivante :

openssl req -new -sha256 -key yourdomain.key -out yourdomain.csr -config san.cnf

Soumettre le CSR

L’utilitaire OpenSSL générera vos fichiers .csr et .key dans le répertoire actuel. Collez le CSR complet (y compris les lignes BEGIN/END) dans votre formulaire de commande de l’autorité de certification.