Comment générer un code CSR sur les serveurs Oracle

Ce guide vous montre comment générer un CSR (Certificate Signing Request) sur les serveurs Oracle. Il couvre les trois produits Oracle où vous devriez créer un CSR localement : Oracle Wallet Manager (ou la commande moderne orapki), Oracle iPlanet Web Server, et Oracle WebLogic Server (Java keytool). Choisissez la section correspondant à votre produit, suivez les étapes, puis soumettez le CSR à votre autorité de certification.

Générer un CSR sur Oracle Wallet Manager

Si vous avez déjà généré votre CSR, passez directement à installer votre certificat SSL sur Oracle. Sinon, vous avez deux options sur Oracle Wallet Manager : l’interface graphique Oracle Wallet Manager (OWM) ou l’utilitaire moderne en ligne de commande orapki fourni avec les produits Oracle. Le chemin orapki est scriptable et constitue l’option recommandée par Oracle pour les déploiements actuels ; OWM reste pris en charge pour les mêmes opérations.

Option A : Oracle Wallet Manager (interface graphique)

1. Ouvrez Oracle Wallet Manager. Si vous n’avez pas encore de wallet, choisissez Wallet > New, définissez un mot de passe fort, puis enregistrez-le.
2. Dans le menu principal, choisissez Operations > Add Certificate Request.
3. Dans la boîte de dialogue, renseignez les informations de la demande de certificat exactement telles que votre organisation est légalement enregistrée :
   • Common Name (CN) : le nom de domaine complet (FQDN) que vous souhaitez sécuriser, par exemple www.yourdomain.com, ou un wildcard tel que *.yourdomain.com. N’indiquez pas le nom d’une personne.
   • Organizational Unit (OU) : les AC publiques n’émettent plus ce champ. Laissez-le vide.
   • Organization (O) : le nom légal complet de votre entreprise, par exemple Your Company LLC. Pour les certificats DV (Domain Validation), vous pouvez laisser ce champ vide.
   • Locality / City (L) : le nom complet de la ville où votre entreprise est enregistrée, par exemple Seattle. N’abrégez pas.
   • State / Province (ST) : le nom complet de l’État ou de la province, par exemple Washington. N’utilisez pas un code à deux lettres.
   • Country (C) : le code pays ISO à deux lettres, par exemple US, GB, DE.
   • Key Size : 2048 bits est le minimum public actuel. Les wallets Oracle proposent 512, 1024, 2048, 4096 et plus, sans option 3072, donc l’échelon supérieur ici est 4096.
4. Cliquez sur OK. Une fenêtre de confirmation indique la réussite de la génération du CSR. Le nœud de certificat dans le menu de navigation du wallet affiche désormais le statut Certificate: [Requested].
5. De retour dans la vue du wallet, choisissez Operations > Export Certificate Request, donnez un nom au fichier (par exemple yourdomain.csr) et enregistrez-le. Ne fermez pas et ne supprimez pas le wallet : il contient désormais la clé privée associée à ce CSR.

Remarque : l’interface graphique d’Oracle Wallet Manager n’expose pas de champ distinct pour le Subject Alternative Name (SAN). Les navigateurs modernes et les clients TLS valident les certificats par rapport à l’extension SAN, et non par rapport au Common Name, donc listez chaque nom d’hôte dont vous avez besoin (par exemple yourdomain.com et www.yourdomain.com) dans le champ SAN du formulaire de commande de votre autorité de certification. La CA les ajoutera au certificat émis. Si vous utilisez la ligne de commande orapki (Option B ci-dessous), vous pouvez intégrer les SAN directement dans le CSR avec l’indicateur -addext_san.

Option B : orapki (ligne de commande)

L’utilitaire orapki est fourni avec les produits Oracle (dans les distributions de la base de données, de Fusion Middleware et de HTTP Server) et constitue l’alternative scriptable à OWM. Le processus se déroule en deux commandes : créer le wallet et la paire de clés, puis exporter le CSR.

Créez un wallet à connexion automatique et ajoutez une paire de clés :

orapki wallet create -wallet /etc/oracle/wallet -auto_login -pwd "YourStrongPassword"

orapki wallet add -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -keysize 2048 
  -addext_san "DNS:yourdomain.com,DNS:www.yourdomain.com" 
  -pwd "YourStrongPassword"

Ensuite, exportez le CSR depuis le wallet :

orapki wallet export -wallet /etc/oracle/wallet 
  -dn "CN=www.yourdomain.com, O=Your Company LLC, L=Seattle, ST=Washington, C=US" 
  -request /tmp/yourdomain.csr 
  -pwd "YourStrongPassword"

Remplacez le chemin du wallet, le DN et le mot de passe par vos propres valeurs. Le DN de la commande export doit correspondre au DN utilisé lors de l’ajout de la paire de clés. L’indicateur -addext_san (orapki 12.2.1.1 et versions ultérieures) intègre les Subject Alternative Names directement dans le CSR ; listez chaque nom d’hôte que le certificat doit couvrir, y compris à la fois le domaine racine et le sous-domaine www. Le fichier yourdomain.csr contient désormais le CSR, prêt à être soumis.

Soumettre le CSR

Ouvrez le fichier .csr dans n’importe quel éditeur de texte (par exemple, le Bloc-notes). Le fichier est en texte brut, commençant par -----BEGIN NEW CERTIFICATE REQUEST----- (ou -----BEGIN CERTIFICATE REQUEST-----) et se terminant par la ligne -----END correspondante. Copiez l’intégralité du bloc, y compris ces lignes d’en-tête et de pied de page, et collez-le dans le champ CSR lors de la commande auprès de votre autorité de certification.

Générer un CSR sur Oracle iPlanet Web Server

Oracle iPlanet (anciennement Sun Java System Web Server, puis Sun ONE) conserve les certificats serveur et leurs clés dans un magasin de jetons. L’assistant de CSR se trouve dans la console d’administration :

1. Dans la console d’administration Oracle iPlanet, ouvrez Server Certificates et cliquez sur Request.
2. Dans la liste Configuration, choisissez la configuration pour laquelle le certificat est destiné.
3. Sélectionnez le Token (Cryptographic Device) qui contiendra la clé. Si la clé est stockée sur le serveur, choisissez Internal ; sinon, sélectionnez votre jeton externe dans la liste déroulante. Entrez le mot de passe du jeton sélectionné.
4. Renseignez les détails du certificat :
   • Server Name : le nom de domaine complet (FQDN) que vous souhaitez sécuriser, par exemple www.yourdomain.com. Pour un certificat wildcard, préfixez avec un astérisque, par exemple *.yourdomain.com.
   • Organization (O) : le nom légal complet de votre entreprise, par exemple Your Company LLC.
   • Organizational Unit (OU) : obsolète pour les AC publiques. Laissez vide.
   • Locality (L) : le nom complet de la ville où votre organisation est enregistrée.
   • State or Province (ST) : le nom complet de l’État ou de la province où votre organisation est enregistrée.
   • Country (C) : le code pays ISO à deux lettres, par exemple US pour les États-Unis. Consultez la liste complète des codes pays.
5. Pour Key Type, sélectionnez RSA avec 2048 bits (ou plus).
6. Pour la Certificate Signing Authority (CSA), sélectionnez CA Signed.
7. Vérifiez les valeurs saisies, puis cliquez sur Generate Request, puis sur Finish.
8. Copiez le CSR nouvellement généré (y compris les lignes -----BEGIN NEW CERTIFICATE REQUEST----- et -----END NEW CERTIFICATE REQUEST-----) dans un fichier texte, puis cliquez sur Close.

Remarque : comme Oracle Wallet Manager, l’assistant de CSR d’iPlanet n’expose pas de champ SAN. Indiquez chaque nom d’hôte que le certificat doit couvrir (domaine racine plus www, plus tout autre sous-domaine) dans le champ SAN du formulaire de commande de votre CA.

Générer un CSR sur Oracle WebLogic Server

Oracle WebLogic Server utilise des keystores Java. Vous générez le CSR avec l’utilitaire Java keytool en deux commandes : d’abord keytool -genkeypair crée le keystore et la clé privée sous un alias choisi, puis keytool -certreq exporte le CSR correspondant. Le même alias doit être réutilisé plus tard lors de l’importation du certificat signé, de sorte que la clé, le CSR et le futur certificat se trouvent tous au même endroit.

Étape 1 : Créer le keystore et la clé privée

Ouvrez un terminal sur le serveur WebLogic et créez un nouveau keystore au format PKCS12. PKCS12 est le format de keystore par défaut en Java depuis JDK 9 et constitue la norme moderne et portable. L’ancien format propriétaire JKS est officiellement déprécié :

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -validity 825

Signification des indicateurs :

• -alias server : le nom de l’entrée dans le keystore. Choisissez un libellé que vous reconnaîtrez (souvent server, ou votre domaine). Notez-le. Vous devez réutiliser cet alias exact lors de la génération du CSR, puis à nouveau lors de l’importation du certificat signé.
• -keyalg RSA -keysize 2048 : une clé RSA de 2048 bits est le minimum public actuel. Pour les nouveaux keystores, 3072 bits est une évolution raisonnable pour des clés à plus longue durée de vie. La plupart des AC publiques acceptent également l’ECDSA (-keyalg EC -groupname secp256r1) si vous préférez une clé plus petite et plus rapide ; -groupname nécessite JDK 13 ou une version ultérieure, donc sur les environnements d’exécution Java 8 et Java 11 pris en charge par les anciennes versions de WebLogic, utilisez plutôt -keyalg EC -keysize 256, qui sélectionne la même courbe.
• -storetype PKCS12 : impose le keystore PKCS12 moderne. L’extension correspondante est .p12 (ou .pfx).
• -keystore yourdomain.p12 : le fichier de keystore à créer. Remplacez-le par un nom dont vous vous souviendrez, et gardez le fichier en sécurité : il contient votre clé privée.
• -validity 825 : la durée de validité du certificat autosigné temporaire à l’intérieur du keystore. Le certificat signé par la CA le remplacera ensuite, donc la valeur exacte n’affecte pas la durée de vie en production.

Remarque : si vous devez continuer à utiliser JKS pour un déploiement WebLogic plus ancien, remplacez -storetype PKCS12 par -storetype JKS et utilisez une extension .jks. Le reste du flux de travail est identique. Pour les certificats wildcard, n’utilisez pas d’astérisque dans le nom de fichier du keystore : ce caractère n’est pas pris en charge sur la plupart des systèmes de fichiers.

keytool vous demande ensuite un mot de passe du keystore. Choisissez un mot de passe fort et stockez-le dans votre gestionnaire de secrets : vous en aurez besoin pour chaque commande keytool ultérieure et pour la configuration du keystore de WebLogic. Avec les keystores PKCS12, le mot de passe de la clé est identique au mot de passe du keystore, il n’y a donc qu’un seul mot de passe à retenir.

Étape 2 : Saisir les informations de votre organisation (DN)

keytool demande maintenant le Distinguished Name (DN) : les champs d’identité qui figurent dans le CSR. Répondez à chaque invite avec la valeur exacte et légale de votre organisation. La ponctuation et l’exactitude sont importantes, car une AC rejettera les incohérences par rapport aux registres publics d’entreprises.

• First and last name (CN) : c’est la formulation de keytool, mais il s’agit bien du champ Common Name. Entrez le FQDN exact que vous sécurisez, par exemple www.yourdomain.com, ou un wildcard tel que *.yourdomain.com. N’indiquez pas le nom d’une personne.
• Organizational unit (OU) : n’est plus émis par les AC publiques. N’essayez pas de le passer en appuyant sur Entrée : keytool substitue sa propre valeur par défaut et écrit OU=Unknown dans la demande, et répondre avec un espace donne le même résultat. Il n’existe pas de moyen interactif de l’omettre, alors soit vous saisissez le nom du service, par exemple IT, soit vous utilisez la forme -dname montrée ci-dessous en omettant le composant OU de la chaîne.
• Organization (O) : le nom légal complet de votre entreprise, par exemple Your Company LLC. Si le nom de votre entreprise contient des symboles tels que & ou @, écrivez-les en toutes lettres ou omettez-les ; keytool rejettera certains caractères spéciaux.
• City or locality (L) : le nom complet de la ville, par exemple San Francisco. N’abrégez pas.
• State or province (ST) : le nom complet de l’État ou de la province, par exemple California. N’utilisez pas un code à deux lettres.
• Country code (C) : le code pays ISO à deux lettres, par exemple US, GB, DE.

Après la dernière invite, keytool affiche un résumé du type CN=www.yourdomain.com, OU=Unknown, O=Your Company LLC, L=San Francisco, ST=California, C=US. Tapez yes pour confirmer. Le fichier de keystore existe désormais avec une entrée : votre alias, contenant la clé privée et un certificat autosigné temporaire.

Si vous préférez une commande non interactive, passez le DN en ligne et évitez les invites :

keytool -genkeypair 
  -alias server 
  -keyalg RSA -keysize 2048 
  -storetype PKCS12 
  -keystore yourdomain.p12 
  -dname "CN=www.yourdomain.com, O=Your Company LLC, L=San Francisco, ST=California, C=US" 
  -validity 825

Étape 3 : Générer le CSR avec SAN

Les navigateurs modernes et les clients TLS valident les certificats par rapport à l’extension Subject Alternative Name (SAN), et non uniquement par rapport au Common Name. Demandez les SAN directement dans le CSR afin que la CA les inclue dans le certificat émis. Utilisez le même alias et le même keystore que ceux de l’étape 1 :

keytool -certreq 
  -alias server 
  -keystore yourdomain.p12 
  -file yourdomain.csr 
  -ext san=dns:yourdomain.com,dns:www.yourdomain.com

Signification des indicateurs :

• -alias server : doit correspondre à l’alias de l’étape 1. C’est l’alias dont la clé privée signe la demande.
• -keystore yourdomain.p12 : doit correspondre au keystore de l’étape 1.
• -file yourdomain.csr : le nom du fichier de sortie pour le CSR.
• -ext san=dns:… : l’extension Subject Alternative Name. Listez chaque nom d’hôte que le certificat doit couvrir, y compris à la fois le domaine racine nu (yourdomain.com) et le sous-domaine www. Ajoutez d’autres entrées séparées par des virgules, par exemple dns:api.yourdomain.com.

keytool demande le mot de passe du keystore et écrit le CSR dans yourdomain.csr dans le répertoire courant.

Essentiel : conservez votre alias et votre keystore

L’erreur keytool la plus fréquente sur WebLogic consiste à importer le certificat signé sous un nouvel alias. Cela stocke le certificat comme une entrée de confiance autonome sans clé privée associée, et le listener SSL de WebLogic ne démarrera pas. Importez toujours la réponse signée dans le même alias que celui qui contient la clé privée (l’alias de l’étape 1).

Notez ces trois valeurs maintenant, avant de fermer le terminal :

• L’alias (dans ce guide, server).
• Le chemin du fichier de keystore (par exemple yourdomain.p12).
• Le mot de passe du keystore.

Si vous n’êtes pas sûr de savoir quel alias contient votre clé, listez le contenu du keystore et recherchez l’entrée dont le type est PrivateKeyEntry :

keytool -list -v -keystore yourdomain.p12

Étape 4 : Vérifier le CSR avant de le soumettre

Repérez les fautes de frappe dans le DN ou les SAN manquants avant que la CA ne les valide. Affichez le CSR avec keytool :

keytool -printcertreq -file yourdomain.csr

Ou, si OpenSSL est installé :

openssl req -noout -text -in yourdomain.csr

Vérifiez trois éléments dans la sortie : le Subject affiche votre DN exact, le Subject Alternative Name liste chaque nom d’hôte dont vous avez besoin, et la taille de la Public-Key correspond à ce que vous avez demandé (RSA 2048 bits, ou ce que vous avez choisi). Vous pouvez également coller le CSR dans notre Décodeur de CSR pour effectuer la même vérification dans un navigateur.

Étape 5 : Soumettre le CSR à votre autorité de certification

Ouvrez yourdomain.csr dans n’importe quel éditeur de texte. Le fichier est en texte brut, commençant par -----BEGIN NEW CERTIFICATE REQUEST----- et se terminant par -----END NEW CERTIFICATE REQUEST-----. Copiez l’intégralité du bloc, y compris ces lignes d’en-tête et de pied de page, et collez-le dans le champ CSR lors de la commande auprès de votre CA. Sous Windows, utilisez Ctrl + A puis Ctrl + C pour saisir le texte complet ; sous macOS, utilisez Cmd + A puis Cmd + C.

Sauvegardez le fichier de keystore (yourdomain.p12) dans un emplacement sûr avant de fermer le terminal. Si vous perdez le keystore, vous perdez la clé privée, et le certificat émis par la CA deviendra inutilisable.

Une fois que la CA a validé votre demande et émis le certificat, poursuivez avec comment installer votre certificat SSL sur Oracle. Sur WebLogic, vous importez le certificat signé dans le même alias du même keystore, puis vous pointez le listener SSL vers ce keystore.