مولّد طلبات CSR — طلب توقيع الشهادة والمفتاح الخاص

لأن المتصفحات لم تعد تقرأ الاسم الشائع منذ 2017. أزال Chrome هذا المسار البديل في الإصدار 58 وتبعه الباقون، فالشهادة التي يظهر نطاقها في CN وحده لا تطابق أي اسم مضيف. بعض سلطات التصديق تنسخ CN إلى SAN بصمت عند الإصدار، وكثير منها يرفض الطلب ببساطة. وضعه في الموضعين يُنهي السؤال.

فقط لشهادات التحقق من المؤسسة (OV) والتحقق الموسّع (EV)، حيث تقارنها سلطة التصديق بسجلك القانوني وترفض أي اختلاف. أما الشهادة العادية ذات التحقق من النطاق — وهي كل ما تصدره Let's Encrypt — فتتجاهلها، ولا بأس بتركها فارغة.

لخادم ويب، عادةً لا. المفتاح المشفَّر يحتاج فكًّا عند كل إقلاع، فلا يستطيع الخادم النهوض وحده بعد إعادة التشغيل — ولهذا يُضبط nginx وApache دائمًا تقريبًا بمفتاح غير مشفَّر تحميه صلاحيات الملف. شفّره إن كنت ستنقله بين الأجهزة أو تحفظه في مكان مشترك.

نعم، اكتب ‎*.example.com. لاحظ أن البدل يغطي وسمًا واحدًا بالضبط، فـ ‎*.example.com يطابق www.example.com لكن لا يطابق example.com نفسه ولا a.b.example.com. إن احتجت النطاق المجرد أيضًا فأدرجه على حدة. كما أن سلطات التصديق العامة تتحقق من البدائل عبر DNS لا عبر HTTP، فالإصدار يتطلب وصولًا إلى سجلات DNS لديك.

يمنح ECDSA P-256 أمانًا يقارب RSA 3072 بمفتاح أصغر بكثير، ما يعني مصافحات أسرع ومعالجة أقل لكل اتصال. أما RSA 2048 فمدعوم من كل شيء تقريبًا، بما في ذلك الأجهزة القديمة وبعض أجهزة الدفع. إن كنت تتحكم بالعملاء فاختر ECDSA، وإن كنت لا تعرف ما الذي سيتصل فاختر RSA.