🔐 Générer un certificat SSL avec OpenSSL compatible Windows Server 2008 R2 (PFX inclus)

Besoin d’un certificat SSL signé pour IIS ou une application sous Windows Server 2008 R2 ? Dans cet article, nous allons détailler étape par étape la génération d’une CSR (Certificate Signing Request), la création d’un certificat signé par une autorité (interne ou publique), et surtout la conversion en format .pfx compatible Windows 2008.

---

⚙️ Prérequis

• Un poste Linux avec openssl installé (ou WSL, ou macOS)
• Un serveur Windows 2008 R2 (IIS ou autre)
• Une autorité de certification interne ou publique (ex : Active Directory Certificate Services)

📄 Étape 1 : Préparer un fichier de configuration OpenSSL avec SAN

Crée un fichier nommé cert.conf pour définir le Common Name (CN) et les Subject Alternative Names (SAN), obligatoires avec les navigateurs modernes.

[ req ]
default_bits       = 2048
prompt             = no
default_md         = sha256
req_extensions     = req_ext
distinguished_name = dn

[ dn ]
CN = monserveur.domaine.local
O = Organisation
OU = Unité
L = Ville
C = FR

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = monserveur.domaine.local
DNS.2 = www.monserveur.local

🔑 Étape 2 : Générer la clé privée et la CSR

openssl genrsa -out serveur.key 2048
openssl req -new -key serveur.key -out serveur.csr -config cert.conf

➡️ Tu obtiens :

• serveur.key → clé privée (à garder secrète)
• serveur.csr → demande à faire signer par l’autorité

🔐 Étape 3 : Faire signer la CSR

Tu peux :

• 📥 Envoyer la CSR à une autorité publique (Let’s Encrypt, Gandi, DigiCert…)
• 🌐 Soumettre la CSR via une autorité interne Windows à l’URL https://nom_CA/certsrv

✅ Exemple avec /certsrv :

1. Va sur https://srv-ca/certsrv
2. Clique sur « Demande avancée »
3. Colle le contenu de serveur.csr
4. Sélectionne le modèle : Serveur Web

➡️ Tu reçois un fichier .cer (certificat signé)

📦 Étape 4 : Générer un fichier .pfx compatible Windows Server 2008 R2

Windows Server 2008 R2 ne supporte pas les dernières méthodes de chiffrement pour les fichiers .pfx générés avec OpenSSL. Il faut donc utiliser des paramètres compatibles (3DES + SHA1) :

openssl pkcs12 -export \
  -inkey serveur.key \
  -in serveur.cer \
  -certfile rootCA.crt \
  -out serveur-w2008.pfx \
  -keypbe PBE-SHA1-3DES \
  -certpbe PBE-SHA1-3DES \
  -macalg sha1

🔑 Un mot de passe d’export te sera demandé → note-le, il sera requis à l’import.

🛠️ Étape 5 : Importer le certificat sur Windows Server 2008

Comme certlm.msc n’existe pas sur Windows Server 2008 R2 :

Option A : via la console MMC

1. Lance mmc
2. Fichier → Ajouter un composant logiciel enfichable → Certificats → Compte d’ordinateur
3. Va dans Personnel → Certificats
4. Clic droit → Importer → Choisis le fichier .pfx

Option B : via certutil

certutil -f -p "MotDePasse" -importpfx serveur-w2008.pfx

🌐 Étape 6 : Lier le certificat à un site IIS

1. Ouvre inetmgr
2. Clique sur ton site Web
3. Dans le panneau de droite, clique sur Liaisons
4. Ajoute une liaison HTTPS sur le port 443
5. Sélectionne ton certificat importé

✅ Vérifier le certificat en ligne de commande

openssl x509 -in serveur.cer -text -noout
openssl pkcs12 -info -in serveur-w2008.pfx

🔒 Bonnes pratiques

• Ne jamais envoyer .key ou .pfx non chiffrés par mail
• Utiliser chmod 600 pour restreindre l’accès à la clé privée
• Stocker les fichiers dans un dossier sécurisé
• Renouveler les certificats avant expiration (surveillance Zabbix/Nagios/GLPI…)

📌 Mots-clés SEO

openssl certificat pfx, générer certificat windows 2008, openssl pfx compatible iis, tls windows server 2008, csr openssl avec san, iis ssl openssl, créer certificat pour iis, certutil importer pfx, openssl windows legacy, certificat ssl internal CA