Générateur de clés EC
Générez une paire de clés à courbe elliptique sur P-256, P-384 ou P-521 pour les signatures ES256, ES384 ou ES512, ECDH et les certificats TLS. Le résultat contient la clé privée au format PKCS #8 PEM non chiffré, la clé publique au format SPKI PEM, une ligne de clé publique OpenSSH ecdsa-sha2 avec son empreinte SHA-256 et l’empreinte JWK RFC 7638. Chaque paire est créée à la demande avec le module crypto de Node et n’est jamais enregistrée.
Foire aux questions
Quelle courbe choisir ?
P-256 (également appelée prime256v1 ou secp256r1) est la courbe la plus largement prise en charge et offre une sécurité d’environ 128 bits. P-384 offre environ 192 bits et est exigée par certains profils gouvernementaux, comme CNSA. P-521 est la plus grande courbe NIST et est moins souvent prise en charge ; choisissez-la uniquement si un système la demande.
Quel algorithme JWT correspond à chaque courbe ?
Les clés P-256 signent avec ES256, celles de P-384 avec ES384 et celles de P-521 avec ES512. JOSE associe chaque algorithme à une seule courbe ; le générateur JWT rejette donc toute clé utilisant une courbe incorrecte. Le résultat indique l’algorithme correspondant à votre clé.
Quels formats sont fournis ?
La clé privée est encodée en PEM PKCS #8 (BEGIN PRIVATE KEY) et la clé publique en PEM SubjectPublicKeyInfo (BEGIN PUBLIC KEY), avec la courbe nommée. Vous obtenez aussi la ligne ecdsa-sha2-nistp256, nistp384 ou nistp521 attendue par OpenSSH dans authorized_keys.
Comment obtenir le format SEC1 (BEGIN EC PRIVATE KEY) ?
Certains outils attendent encore l’ancien encodage SEC1. Avec OpenSSL 3, exécutez openssl pkey -in key.pem -traditional -out key-ec.pem, ou openssl ec -in key.pem -out key-ec.pem. La clé elle-même reste identique.
Puis-je créer une demande de signature de certificat avec cette clé ?
Oui. Enregistrez la clé privée PEM, puis exécutez openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr, puis vérifiez la demande avec le décodeur CSR. Les autorités de certification acceptent les clés P-256 et P-384 pour les certificats TLS.
Pourquoi les clés EC sont-elles plus petites que les clés RSA ?
La cryptographie à courbe elliptique atteint le même niveau de sécurité avec des clés bien plus courtes : une clé P-256 est comparable à une clé RSA de 3072 bits. Les signatures sont plus courtes et la signature est plus rapide. La clé publique tient en 65 octets sur P-256.
La clé privée est-elle protégée par une phrase secrète ?
Non, elle est fournie non chiffrée afin que d’autres outils puissent la lire directement. Pour la chiffrer avant de la stocker, exécutez openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Ne validez jamais une clé privée non chiffrée dans un dépôt.
À quoi sert l’empreinte JWK ?
L’empreinte RFC 7638 est un hachage SHA-256 base64url des membres crv, kty, x et y de la clé. C’est un identifiant stable qui ne dépend pas du format PEM ou JWK et qui convient bien comme kid dans les en-têtes JWT et les documents JWKS.
La paire de clés est-elle enregistrée ?
Non. La paire est générée en mémoire pour votre requête, renvoyée une seule fois et jamais consignée ni enregistrée. Copiez les deux clés avant de quitter la page, car elles ne pourront plus être affichées.
Que change le champ de commentaire ?
Il ajoute uniquement un libellé à la fin de la ligne de clé publique OpenSSH, par exemple user@laptop, afin de reconnaître facilement la clé dans authorized_keys. Les empreintes et le matériel de la clé restent identiques. Le commentaire peut contenir jusqu’à 200 caractères.