Comment générer un CSR dans Plesk

Ce guide vous montre comment générer une CSR (Certificate Signing Request) dans Plesk. Les étapes ci-dessous suivent la version actuelle de Plesk Obsidian (18.x), qui est la branche de version prise en charge. Plesk crée pour vous à la fois la CSR et sa clé privée correspondante, et stocke la clé sur le serveur au sein de l’entrée du certificat, de sorte que tout ce que vous devez envoyer à l’autorité de certification est le texte de la CSR. Vous utiliserez cette même entrée plus tard pour installer le certificat émis.

Il existe deux endroits où une CSR peut se trouver dans Plesk : sur un domaine spécifique (le cas habituel, pour un certificat de site web) ou au niveau du serveur (pour le panneau Plesk lui-même et les services de messagerie). La majeure partie de ce guide couvre le flux par domaine, ce qui est ce dont vous avez besoin dans presque tous les cas. Le flux au niveau du serveur se trouve à la fin.

Générer une CSR pour un domaine dans Plesk Obsidian

Si vous avez déjà généré votre CSR, passez directement à comment installer un certificat SSL dans Plesk.

Les écrans ci-dessous s’appliquent que vous soyez connecté en tant qu’administrateur du serveur, revendeur ou client. La seule différence est le libellé du menu principal : les administrateurs de serveur et les revendeurs voient Domains, tandis que les comptes clients voient Websites & Domains. Tout ce qui suit à partir de SSL/TLS Certificates est identique.

Étape 1 : Ouvrez le panneau SSL/TLS Certificates pour votre domaine

• Connectez-vous à Plesk.
• Dans le menu de gauche, cliquez sur Domains (ou Websites & Domains sur un compte client) et sélectionnez le domaine pour lequel vous souhaitez obtenir le certificat.
• Cliquez sur SSL/TLS Certificates.
• Sur l’écran SSL/TLS Certificates, cliquez sur Advanced Settings (cela ouvre le magasin de certificats par domaine, où se trouvent les certificats manuels et les CSR).
• Cliquez sur Add SSL/TLS Certificate.

Plesk propose également un panneau SSL It! sur le même écran pour les certificats Let’s Encrypt gratuits et à renouvellement automatique. SSL It! ne produit pas de CSR que vous pouvez remettre à une CA publique ; si vous souhaitez qu’un certificat Let’s Encrypt soit émis directement, utilisez SSL It! directement. Pour commander auprès d’une CA commerciale (DV, OV, EV, wildcards, garantie plus longue, couverture SAN), restez sur le chemin Advanced Settings couvert ici.

Étape 2 : Remplissez le formulaire de la CSR

Plesk affiche maintenant le formulaire Add SSL/TLS Certificate. Les valeurs que vous saisissez ici sont intégrées dans la CSR et signées par la CA, alors utilisez des informations précises correspondant à l’enregistrement de votre domaine et, pour les commandes OV ou EV, à votre dossier légal d’entreprise. Champs obligatoires :

• Certificate name : toute étiquette qui vous aidera à retrouver cette entrée ultérieurement, par exemple example.com 2026. La CA ne voit jamais cela ; c’est interne à Plesk.
• Bits : choisissez la taille de la clé RSA. 2048 est le minimum moderne et ce que la plupart des CA attendent ; 4096 est également accepté et offre une clé plus grande au prix de poignées de main légèrement plus lentes. Évitez 1024, qui est interdit par les CA publiques depuis des années.
• Country : le code pays ISO à deux lettres de l’organisation propriétaire du domaine.
• State or province : le nom complet, et non une abréviation (par exemple, Florida, et non FL).
• Location (city) : la ville où l’organisation est enregistrée (par exemple, Miami).
• Organization name (company) : pour les certificats OV ou EV, le nom légal exact de l’entreprise (par exemple, GPI Holding LLC). Pour un certificat à validation de domaine (DV), vous pouvez saisir votre nom complet ou le nom du site web ; la CA ne vérifie pas ce champ pour un certificat DV.
• Organization department or division name (OU) : facultatif. La plupart des CA publiques n’affichent plus l’OU sur les certificats émis (conformément aux règles du CA/Browser Forum), donc il est possible de le laisser vide.
• Domain name : le nom de domaine complètement qualifié (FQDN) que vous souhaitez que le certificat couvre, par exemple www.example.com. Pour un certificat wildcard, faites précéder l’apex d’un astérisque et d’un point : *.example.com. Cette valeur devient le Common Name du certificat.
• Email : facultatif, et n’est plus utilisé par les CA publiques pour la validation de domaine. Vous pouvez le laisser vide.

Le formulaire Plesk ne comporte pas de champ Subject Alternative Names (SAN). Plesk crée une CSR à nom unique, et tous les noms d’hôte supplémentaires que vous devez couvrir (apex plus www, un multi-domaine ou wildcard, sous-domaines de messagerie) sont ajoutés par la CA au moment de l’émission en fonction de ce que vous sélectionnez dans le formulaire de commande. Si vous avez besoin d’une véritable CSR multi-noms générée localement, générez-la avec OpenSSL ou avec notre générateur de CSR et téléchargez-la lors de l’installation.

Étape 3 : Générez et copiez la CSR

Vérifiez les valeurs, puis cliquez sur Request. Plesk génère la CSR et la clé privée correspondante sur le serveur, puis vous renvoie à la liste SSL/TLS Certificates.

Pour afficher la CSR, cliquez sur le nom de l’entrée de certificat que vous venez de créer. La page de détails affiche deux blocs PEM : la CSR et la clé privée. Copiez l’intégralité du bloc CSR, y compris les marqueurs d’ouverture et de fermeture (cinq tirets de chaque côté, pas des tirets cadratins) :

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
...
-----END CERTIFICATE REQUEST-----

Collez la CSR dans le formulaire de commande SSL lors du paiement. La CA valide la demande et émet votre certificat ; vous n’avez pas besoin de télécharger ou de sauvegarder la clé privée séparément car Plesk la conserve à l’intérieur de la même entrée de certificat. Lorsque la CA renvoie le certificat émis et la chaîne de CA, revenez à cette même entrée et utilisez-la pour installer le certificat dans Plesk.

Vérifiez la CSR avant de la soumettre

Une CSR avec un Common Name, un code pays ou une taille de clé incorrects signifie que la CA rejettera la commande ou émettra un certificat qui ne correspond pas à l’hôte que vous vouliez couvrir. Avant de la coller dans le formulaire de commande, décodez la CSR et vérifiez les valeurs : collez le bloc dans notre décodeur de CSR et vérifiez le Common Name, l’organisation, le pays et la taille de clé par rapport à ce que vous avez saisi dans Plesk.

Générer une CSR pour le panneau Plesk ou le serveur de messagerie

La CSR ci-dessus concerne un site web hébergé. L’URL du panneau de contrôle Plesk (port 8443) et les services de messagerie (IMAPS, POP3S, SMTPS) utilisent un certificat distinct au niveau du serveur. La CSR pour celui-ci se trouve à un autre endroit :

• Connectez-vous à Plesk en tant qu’administrateur du serveur.
• Allez dans Tools & Settings, puis sous Security cliquez sur SSL/TLS Certificates.
• Cliquez sur Add SSL/TLS Certificate et remplissez le même formulaire qu’à l’étape 2 ci-dessus. Le champ Domain name correspond au nom d’hôte que les visiteurs utilisent pour accéder à Plesk (par exemple plesk.example.com) ou au nom d’hôte de messagerie.
• Cliquez sur Request. Ouvrez la nouvelle entrée et copiez le bloc CSR de la même manière que pour un domaine.

Soumettez la CSR au niveau du serveur à la CA exactement de la même manière. Lorsque le certificat émis arrive, vous le téléchargez dans cette même entrée sous Tools & Settings > SSL/TLS Certificates, puis vous l’associez au panneau Plesk et au serveur de messagerie depuis le même écran.

Alternative gratuite : SSL It! (Let’s Encrypt)

Si vous n’avez pas besoin d’OV, d’EV ou d’une garantie plus longue, l’extension SSL It! fournie avec Plesk Obsidian émet des certificats Let’s Encrypt gratuits et les renouvelle automatiquement avant leur expiration. Il n’y a pas de CSR à générer manuellement : ouvrez le domaine dans Plesk, cliquez sur SSL/TLS Certificates, cliquez sur Install sous Let’s Encrypt, choisissez les noms d’hôte que vous souhaitez couvrir, et confirmez. Plesk gère la demande, la clé, la chaîne et l’attribution en une seule fois.

Utilisez le flux de CSR manuel décrit plus haut sur cette page lorsque vous avez besoin d’un certificat commercial provenant d’une CA publique.