CSR-Generator

Was generiert wird

Zwei PEM-Dateien:

example.csr (öffentlich, an die CA gesendet):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key (privat, bleibt auf Ihrem Server):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

Die CSR wird mit dem privaten Schlüssel als Nachweis des Besitzes signiert. Wenn die CA das Zertifikat ausstellt, stimmt der öffentliche Schlüssel des Zertifikats mit dem Schlüssel in der CSR überein, der wiederum mit dem privaten Schlüssel auf Ihrem Server übereinstimmt.

Dieser Generator erstellt eine CSR mit dem eingegebenen Common Name und ohne Subject-Alternative-Name-Erweiterungen (SAN). Muss Ihr Zertifikat mehrere Hostnamen abdecken, nutzen Sie die Werkzeuge Ihrer CA: ACME-Clients wie Let’s Encrypt erstellen die Anfrage für Sie, und die meisten Webformulare der CAs ergänzen die weiteren Namen beim Einreichen.

Feldanforderungen nach Zertifikatstyp

Let’s Encrypt und die meisten automatisierten DV-Aussteller betrachten nur den Common Name. Unternehmens-CAs, die OV/EV-Zertifikate ausstellen, prüfen die Organisationsangaben anhand von Geschäftsunterlagen.

Schlüsselgrößen

Für einen öffentlichen Webserver ist RSA 2048 der sichere Standard. Wählen Sie 3072 oder 4096 Bits, wenn Sie eine größere Sicherheitsreserve wünschen und langsamere Schlüsselgenerierung, langsamere Handshake und größere Zertifikate in Kauf nehmen.

Wo CSRs schiefgehen

• Das Zertifikat deckt den Hostnamen nicht ab: Browser zeigen “NET::ERR_CERT_COMMON_NAME_INVALID”, wenn das Zertifikat den exakt aufgerufenen Namen nicht abdeckt. Der Common Name muss dem vollständigen Hostnamen entsprechen, einschließlich www, wenn Sie diesen verwenden. Da dieser Generator eine Anfrage mit nur einem CN erstellt, nutzen Sie die Werkzeuge Ihrer CA, wenn Sie weitere Namen benötigen.
• Wildcard-Beschränkung: Ein Wildcard *.example.com passt nur auf eine Subdomain-Ebene. Es passt nicht auf api.v2.example.com.
• Apex und Wildcard sind verschiedene Namen: *.example.com deckt das nackte example.com nicht ab; Sie benötigen beide als getrennte Namen im Zertifikat.
• IP-Adresse: Die meisten öffentlichen CAs stellen keine Zertifikate mehr für IP-Adressen aus; Sie müssen einen Hostnamen verwenden.

Nach der Generierung

1. Bewahren Sie den privaten Schlüssel sicher auf. Berechtigungen 0600, im Besitz des Webserver-Benutzers.
2. Fügen Sie die CSR in das Webformular oder das CLI-Tool Ihrer CA ein (Let’s Encrypt über ACME erledigt dies normalerweise automatisch).
3. Erhalten Sie das signierte Zertifikat (und die Zwischenkette).
4. Installieren Sie sowohl die Zertifikatskette als auch den privaten Schlüssel auf Ihrem Server.
5. Überprüfen Sie mit einem SSL-Checker.