Création d'une demande de certificat à envoyer à un CA

Après avoir créé une clé, vous devez créer une demande de certificat que vous enverrez ensuite au fournisseur de certificats de votre choix. Pour ce faire, tapez la commande suivante :

make certreq

Votre système affiche le résultat suivant et vous demande votre mot de passe (à moins d'avoir désactivé cette option) :

umask 77 ; \
/usr/bin/openssl req -new -key /etc/httpd/conf/ssl.key/server.key 
-out /etc/httpd/conf/ssl.csr/server.csr
Using configuration from /usr/share/ssl/openssl.cnf
Enter PEM pass phrase:
	

Entrez le mot de passe que vous avez choisi lors de la création de votre clé. Le système affiche ensuite quelques instructions et vous demande de lui fournir toute une série de renseignements. Ceux-ci seront ajoutés à la demande de certificat. Voici un exemple de l'écran qui affiche les questions :

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a
DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:North Carolina
Locality Name (eg, city) []:Durham
Organization Name (eg, company) [Internet Widgits]:Test Company
Organizational Unit Name (eg, section) []:Testing
Common Name (your name or server's hostname) []:test.mydomain.com
Email Address []:admin@mydomain.com
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Les réponses par défaut sont mises entre parenthèses [] immédiatement après chaque requête d'information. Par exemple, la première information demandée est le nom du pays où le certificat sera utilisé, ce qui est indiqué comme suit :

Country Name (2 letter code) [AU]:
      

Le résultat par défaut, entre parenthèses, est AU. Pour accepter cette valeur par défaut, vous n'avez qu'à appuyer sur Entrée ou alors écrivez le code de deux lettres de votre pays.

Vous devez également indiquer les autres informations demandées (State or Province Name, Locality Name, Organization Name, Organizational Unit Name, Common Name, et Email address). Toutes ces informations ne nécessitent pas vraiment d'explication, mais vous devez tout de même suivre les lignes directrices suivantes :

• N'abrégez pas le nom de l'endroit ou du pays. Ecrivez-le en entier (par exemple, St-Louis devrait être écrit Saint-Louis).

• Lorsque vous envoyez votre demande de certificat à un fournisseur de certificats, assurez-vous de donner les bonnes informations, et ce pour tous les champs, particulièrement pour Organization Name et Common Name. Les fournisseurs de certificats vérifient les informations contenues dans la demande pour déterminer si le nom DNS que vous avez indiqué sous le champ Common Name appartient bien à votre organisation. Les fournisseurs de certificats refusent les demandes contenant des informations qu'elles considèrent comme non valides.

• Pour le champ Common Name, assurez-vous d'inscrire le nom réel de votre secure Web server (un nom DNS valide) et non pas l'alias du serveur s'il en a un.

• Le champ Email Address doit contenir l'adresse électronique du Webmaster ou de l'administrateur système.

• Evitez les caractères spéciaux comme @, #, &, !, etc. Certains fournisseurs de certificats refusent les demandes qui contiennent de tels caractères. Aussi, si le nom de votre société contient une esperluette (&), épelez-la en entier ("et" au lieu de "&").

• N'utilisez pas les champs supplémentaires (A challenge password et An optional company name). Pour continuer sans entrer d'informations dans ces champs, appuyez sur la touche Entrée pour accepter la valeur nulle par défaut des deux champs.

Lorsque vous avez terminé d'entrer les informations, un fichier appelé server.csr est créé. Ce fichier est votre demande de certificat, prêt à être envoyé au fournisseur de certificats.

Si vous avez déjà choisi un fournisseur de certificats, suivez les instructions fournies sur son site Web. Celles-ci vous indiqueront comment lui envoyer votre demande de certificat, les autres renseignements requis et votre paiement.

Si vous répondez aux exigences du fournisseur de certificats, celui-ci vous enverra (généralement par courrier électronique) un certificat. Enregistrez-le (ou alors copiez-le et collez-le) sous /etc/httpd/conf/ssl.crt/server.crt.