La génération dépend de l’algorithme : un scalaire aléatoire et une multiplication de point pour les courbes elliptiques (quelques microsecondes), une graine aléatoire pour Ed25519 ou ML-DSA, et la recherche de deux grands nombres premiers pour RSA, qui prend en moyenne environ 26 ms pour 2048 bits et environ 250 ms pour 4096 bits sur un cœur d’Apple M4 Max avec OpenSSL 3.6.5, avec une forte variance. Toutes ces méthodes ont besoin d’un générateur de nombres aléatoires cryptographiquement sûr ; un générateur faible produit des clés faibles ou en double.
Bonnes pratiques : générez les clés là où elles seront utilisées (dans le HSM, la Secure Enclave ou le serveur) au lieu de les copier ; enregistrez l’algorithme et l’usage avec la clé (alg et use dans la JWK, extension Key Usage d’un certificat X.509) ; utilisez une paire de clés par usage (SP 800-57 Part 1 §5.2) ; et prévoyez la rotation dès le premier jour.
Pour vérifier qu’un certificat, une CSR ou une JWK correspond à une clé privée donnée, comparez les clés publiques, pas les noms de fichiers : le comparateur de clé et de certificat le fait localement.