Toutes les questions sur le certificat SSL RGS*
Votre facture est transmise automatique par email au contact « Facturation » que vous avez mentionné sur votre compte.
Si vous ne l’avez pas spécifié, il s’agit du demandeur initial de certificat.
Si nécessaire, vous pouvez formuler une demande de duplicata auprès de notre service clients.
Vous souhaitez payer votre commande via un Bon de commande ?
Il n'y a rien de plus simple ! Lors de la validation du panier de votre commande vous pouvez choisir l'option de paiement "Bon de commande". Vous devrez alors nous transmettre le PDF de votre bon de commande ainsi que sa référence avant de finaliser votre achat.
Le bon de commande doit contenir les informations suivantes :
- Certigna en destinataire du bon de commande.
- Les coordonnées complètes de l'entité à facturer.
- Votre numéro d'engagement, de commande et votre code service.
- le type de certificat souhaité ( certigna ID RGS* / Certigna ID RGS** eIDAS / Certigna SSL / Certigna SSL RGS* , etc).
- La quantité de certificats.
- La durée des certificats (1, 2 ou 3 ans - selon les certificats).
- Le prix unitaire du certificat.
- Le prix total HT de l'ensemble du bon de commande.
On appelle CSR la demande de signature de certificat (Certificate Signing Request). Il s’agit d’un petit fichier indispensable pour générer le certificat SSL qui permettra de sécuriser votre serveur web et obtenir un accès au HTTPS.
Votre demande de certificat SSL se déroule en 3 étapes :
- Effectuer une commande de certificat SSL sur notre site type de certificat adapté.
- Personnaliser les informations relatives à votre certificat SSL et notamment générer une demande de signature de certificat (CSR) qui devra obligatoirement être créée sur le même serveur que celui ou sera installé votre certificat SSL. La CSR contiendra en effet toutes les informations qui nous seront nécessaires pour générer votre certificat SSL (ex : nom, organisation, pays…),
Nous adresser votre CSR contenant à minima votre Common Name afin de nous permettre de gérer votre certificat SSL au plus tôt. Vous pouvez nous transmettre votre CSR via votre espace client lors de la personnalisation de votre certificat.
Pour être valide, votre CSR doit contenir plusieurs informations essentielles :
Les données du serveur à protéger :
Pour vous identifier, il vous est demandé un certain nombre d’informations sur votre serveur, le nom de domaine du site à protéger et sur votre entreprise :
- Common Name (CN) - Obligatoire : c’est-à-dire le nom de domaine complètement qualifié (FQDN) de votre serveur. Autrement dit, le nom du serveur. Par exemple : *.exemple.fr, exemple.fr ou mail.exemple.fr…
- Organization (O) : la dénomination sociale de votre entreprise. Vous devez indiquer ici le nom complet de votre société, entreprise ou association, légalement déposé. Il peut inclure la forme de la société (SA, SARL…). Nous vérifions ces informations pour l’émission de certificats OV SSL.
- Organizational Unit (OU): il s’agit ici d’indiquer le service en charge de la gestion de votre certificat. Cela peut concerner le service informatique, RH, le département finance…
- City/Locality (L) : tout simplement la ville complète du siège social de votre entreprise sans abréviations.
- State/County/Region (S) : la region ou le département du siege social de votre entreprise.
- Country (C) : il s’agit du code à 2 lettres du pays où se situe votre entreprise. Pour la France, on utilisera « FR ».
- Email Address : il est préférable, dans ce champ, de renseigner l’adresse e-mail de la personne en charge de la demande mais l’adresse mail générale de l’entreprise est également acceptée.
La présence de vos clés publique et privée
Avant de créer une CSR, en tant que demandeur, vous devez créer une paire de clés : une publique et une privée.
Pour chiffrer les données échangées, le SSL utilise la cryptographie à clé publique ou asymétrique. La création d’une clé publique est donc nécessaire et sera incluse dans votre CSR pour lui permettre de signer votre certificat SSL en cryptant vos données.
A l’inverse, votre clé privée a pour rôle de déchiffrer vos données. Bien entendu, votre clé privée doit rester secrète.
Le type et la longueur de clé
La CSR nous renseigne aussi sur le type et la longueur de clé.
Attention : Concernant les produits Certigna Cachet Signature RGS* et Certigna Cachet Signature RGS** le format RSA 3072 est requis.
Nous acceptons encore le format RSA 2048 pour les certificats : Certigna SSL 1 an / Certigna SSL RGS* 1 an / Certigna Serveur client fonction 1 an et Certigna Serveur client domaine.
Sous quel format se présente une CSR ?
La CSR ressemble à un long paragraphe de chiffres et de lettres majuscules et minuscules mélangées comprises entre deux balises : une d’en-tête commençant par « -----BEGIN NEW CERTIFICATE REQUEST----- » et une de fin clôturant le CSR par « -----END NEW CERTIFICATE REQUEST----- ».
Ce texte sans mise en forme s’ouvre facilement dans un éditeur de texte traditionnel. Il est souvent généré au format PEM codé Base 64.
Pour l’utiliser, vous devrez donc copier/coller l’ensemble du paragraphe sans oublier ses balises.
Créer votre CSR
Pour créer une CSR nous vous invitons à consulter notre page d’informations.
Pour générer une nouvelle CSR, suivez notre procédure détaillée
Votre clé privée et votre CSR peuvent facilement être générés grâce à Openssl :
Attention : Concernant les produits Certigna Cachet Signature RGS* et Certigna Cachet Signature RGS** le format RSA 3072 est requis.
Nous acceptons cependant le format RSA 2048 pour les certificats : Certigna SSL 1 an / Certigna SSL RGS* 1 an / Certigna Serveur client fonction 1 an et Certigna Serveur client domaine.
- openssl genrsa 3072 (ou 2048) > request.key
- openssl req -new -key request.key > request.csr
Attention, pour être valide, votre CSR doit contenir une clé de taille 3072 bits et au minimum les champs suivants : CN.
Après avoir passé commande d'un certificat vous pouvez le personnaliser et nous transmettre les pièces justificatives suivantes en les téleversant dans votre espace :
- Complétez et signez le formulaire de demande (Signature manuscrite du responsable légal de l'entité ou d'une personne ayant délégation de pouvoir / Signature manuscrite du futur porteur du certificat ou signature électronique avec niveau de qualification équivalente à la demande de certificat. Nous n'acceptons pas le copier coller d'une "image" de signature) . Scannez le document signé.
- Scannez une pièce d'identité du responsable légal ou d'une personne ayant délégation de pouvoir
La pièce d'identité doit être en couleur et en cours de validité, contenir une photo et être scannée recto-verso ( et ne doit pas être retouchée ou modifiée).
Les justificatifs acceptés sont les suivants : carte nationale d'identité, passeport ou encore un titre de séjour.
Pour information, le permis de conduire n'est pas accepté en tant que pièce d'identité par nos services. (Nous n'acceptons pas non plus les récépissés de demande ou titres provisoires). - Scannez une pièce d'identité du futur Responsable de Certificat Serveur
La pièce d'identité doit être en couleur et en cours de validité, contenir une photo et être scannée recto-verso ( et ne doit pas être retouchée ou modifiée).
Les justificatifs acceptés sont les suivants : carte nationale d'identité, passeport ou encore un titre de séjour.
Pour information, le permis de conduire n'est pas accepté en tant que pièce d'identité par nos services. (Nous n'acceptons pas non plus les récépissés de demande ou titres provisoires). - Scannez un document justificatif du titulaire du domaine (whois, facture d'achat du domaine)
- Scannez un document justificatif du responsable légal de l'entité (k-bis, PV de nomination, attestation chambre de commerce de votre pays...)
- Pour les entités étrangères hors UE - scannez un document justificatif où apparait votre DUNS Number
- Si le virement a été sélectionné comme moyen de paiement. : scan de l'avis de virement.
Pièces complémentaires :
- En cas de délégation de pouvoir (par exemple d'un président à un directeur) : un document valide portant la délégation
- L'extrait Kbis de la raison sociale de l'entité présente sur le Kbis initial
Le DCV, pour Domain Control Validation (ou Validation de la possession d’un nom de domaine) est une validation complémentaire dans la vérification d’un dossier.
Celui-ci permet de vérifier que le demandeur d’un certificat possède effectivement les droits de gestion du nom de domaine, ou alors que le gestionnaire du domaine autorise le demandeur à acheter un certificat pour le domaine qu’il gère. Ces vérifications complémentaires ont pour but d’éviter l’émission de demande de certificat frauduleuse.
Plusieurs méthodes de vérification DCV sont mises à votre disposition :
- Validation par Email
- Validation par HTTP
- Validation par HTTPS
- Validation par enregistrement d’une entrée DNS
Qu'est-ce que le DNS CAA ?
Le DNS CAA, pour Domain Name System Certification Authority Authorization (ou Système de Noms de Domaine avec Autorisation d'Autorité de Certification), est une spécificité du service DNS qui permet au titulaire d'un nom de domaine de créer une liste blanche des autorités de certification qu'il souhaite autoriser à émettre des certificats pour son site web.
À quoi sert le DNS CAA ?
Le DNS CAA a été créé afin de permettre au titulaire d'un domaine d'ajouter une sécurité supplémentaire lors de l'émission de certificats pour les sites qu'il gère.
En effet, pour chacun de ses sites, il est possible de spécifier une liste d'autorités de certification autorisées à émettre des certificats.
L'intérêt d'un tel système prend tout son sens suite à l'essor des certificats générés "à la volée". Ces types de certificat sont émis sans aucune vérification sur le titulaire du domaine (existence de la société, validation d'identités...). Il est alors facile pour n'importe quelle personne de demander un certificat pour un domaine ne lui appartenant pas.
Le DNS CAA permet donc au titulaire d'un nom de domaine de spécifier les autorités en qui il a confiance, plus particulièrement celles qui effectuent des vérifications sur l'identité du propriétaire du site web.
Comment ajouter Certigna à ma liste d'autorités autorisées ?
Il faut savoir que cette extension étant récente, il est possible qu'elle ne soit pas encore gérée sur votre serveur, nous vous invitons donc à vous rapprocher de votre hébergeur ou de votre administrateur réseau pour plus d'informations à ce sujet.
Plusieurs syntaxes existent pour ajouter un enregistrement DNS CAA en fonction de votre serveur.
- Syntaxe n°1
example.com. IN CAA 0 issue "certigna.fr"
- Syntaxe n°2
example.com. IN TYPE257 # 18 000569737375656365727469676e612e6672
- Syntaxe n°3
0 issue "certigna.fr"
Voici une liste non exhaustive des serveurs gérant le DNS CAA, avec la syntaxe à utiliser :
- BIND, syntaxe n°2 < version 9.9.6 >= syntaxe n°1
- NSD, syntaxe n°2 < version 4.0.1 >= syntaxe n°1
- PowerDNS, version 4.0.0 >= syntaxe n°1
- Knot DNS, version 2.2.0 >= syntaxe n°1
- Windows Server 2016, syntaxe n°2
- Tinydns, syntaxe n°3
- Google Cloud DNS, syntaxe n°3
- DNSimple, syntaxe n°3
Merci de bien vouloir contacter le service technique de Certigna au 0 806 115 115 (service gratuit + prix d'un appel local), afin d'obtenir une assistance au téléchargement de votre certificat.
Après le téléchargement de votre certificat, vous en devenez responsable.
Conservez-le précieusement. Nous vous conseillons de sauvegarder votre certificat sur un support externe à l'ordinateur. Si vous le perdez, nous ne pourrons pas vous refournir ce certificat, il faudra donc en commander un nouveau.
Vous pouvez dès à présent vous connecter sur votre espace client.
Dans votre Tableau de bord, sélectionnez les « Certificats à récupérer ».
Sélectionnez le certificat concerné puis téléchargez votre certificat.
La refabrication consiste à générer un nouveau certificat en remplacement d'un certificat existant, avec exactement les mêmes informations, mais un biclé différent. Cette procédure est utile suite à la perte du certificat ou la perte du mot de passe. Attention cependant, la refabrication n'est possible que pour un certificat sous format logiciel et dans les trente jours suivant l'émission du premier certificat. Après cette période, il faudra automatiquement passer par une révocation du certificat et effectuer une nouvelle commande.
Pour demander une refabrication, rendez-vous sur la page "Mes Commandes", filtrez les "Certificats en cours de validité", puis cliquez sur le bouton "Refabriquer" du certificat à refabriquer. Celui-ci n'apparaît pas si vous n'êtes pas la personne qui a effectué la commande.
Le renouvellement d'un certificat consiste à générer un nouveau certificat à partir des informations du certificat existant, avec une nouvelle période de validité. Nous envoyons des emails de notification d'expiration à la personne qui a effectué la commande à partir de 30 jours avant la date d'expiration. Celle-ci est prise en compte pour le nouveau certificat. Ainsi vous ne perdrez aucun jour de validité, même si vous renouvelez longtemps à l'avance.
Connectez-vous à votre espace client, cliquez sur « Toutes Mes Commandes ». vous pouvez ensuite via les filtres mis à votre disposition, sélectionner les "certificats à renouveler".
Vous disposerez d'un lien à cliquer : "renouveler" présent sur le certificat.
