Генератор CSR

Что создаётся

Два файла PEM:

example.csr (открытый, отправляется УЦ):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key (закрытый, остаётся на вашем сервере):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

CSR подписывается закрытым ключом как доказательство владения. Когда УЦ выпускает сертификат, открытый ключ сертификата совпадёт с ключом из CSR, который совпадёт с закрытым ключом на вашем сервере.

Этот генератор создаёт CSR только с введённым общим именем и без расширений альтернативных имён субъекта (SAN). Если сертификат должен покрывать несколько имён хоста, используйте инструменты своего УЦ: ACME-клиенты, такие как Let’s Encrypt, создают запрос за вас, а большинство веб-форм УЦ добавляет дополнительные имена при отправке.

Требования к полям по типу сертификата

Let’s Encrypt и большинство автоматизированных DV-издателей смотрят только на общее имя. Корпоративные УЦ, выпускающие сертификаты OV/EV, сверяют данные организации с деловыми реестрами.

Размеры ключей

Для публичного веб-сервера RSA 2048 является безопасным выбором по умолчанию. Выбирайте 3072 или 4096 бит, если нужен больший запас прочности и вы готовы к более медленной генерации ключа, медленным handshake и большим сертификатам.

Где CSRs ошибаются

• Сертификат не покрывает имя хоста: браузеры показывают “NET::ERR_CERT_COMMON_NAME_INVALID”, когда сертификат не покрывает точное имя, которое вы посетили. Общее имя должно совпадать с полным именем хоста, включая www, если вы его используете. Поскольку этот генератор создаёт запрос с одним CN, для дополнительных имён используйте инструменты своего УЦ.
• Ограничение подстановочных знаков: wildcard *.example.com соответствует только одному уровню поддомена. Он не соответствует api.v2.example.com.
• Аpex-домен и wildcard это разные имена: *.example.com не покрывает голый example.com; в сертификате нужны оба как отдельные имена.
• IP-адрес: большинство публичных УЦ больше не выпускает сертификаты для IP-адресов, поэтому нужно использовать имя хоста.

После создания

1. Храните закрытый ключ в безопасности. Права 0600, владелец пользователь веб-сервера.
2. Вставьте CSR в веб-форму или CLI-инструмент вашего УЦ (Let’s Encrypt через ACME обычно делает это автоматически).
3. Получите подписанный сертификат (и промежуточную цепочку).
4. Установите на сервер и цепочку сертификатов, и закрытый ключ.
5. Проверьте с помощью SSL-чеккера.