CSR-Generator — Zertifikatsignieranforderung und privater Schlüssel

Weil Browser den Common Name seit 2017 nicht mehr lesen. Chrome hat den Rückfall in Version 58 entfernt, die anderen folgten — ein Zertifikat, dessen Domain nur im CN steht, passt zu keinem Hostnamen. Manche CAs kopieren den CN beim Ausstellen stillschweigend ins SAN, viele lehnen die Anforderung schlicht ab. Der Eintrag an beiden Stellen macht die Frage gegenstandslos.

Nur für organisationsvalidierte (OV) und Extended-Validation-Zertifikate (EV), wo die CA sie gegen Ihre Registereintragung prüft und Abweichungen ablehnt. Für ein gewöhnliches domainvalidiertes Zertifikat — dazu zählt alles von Let's Encrypt — werden sie ignoriert, leere Felder sind also unproblematisch.

Für einen Webserver meist nicht. Ein verschlüsselter Schlüssel muss bei jedem Start entsperrt werden, der Server kommt nach einem Neustart also nicht unbeaufsichtigt hoch — deshalb laufen nginx und Apache fast immer mit einem unverschlüsselten Schlüssel, der über Dateirechte geschützt ist. Verschlüsseln Sie ihn, wenn Sie ihn zwischen Maschinen bewegen oder gemeinsam ablegen.

Ja — schreiben Sie *.example.com. Beachten Sie, dass ein Platzhalter genau ein Label abdeckt: *.example.com passt zu www.example.com, aber weder zu example.com selbst noch zu a.b.example.com. Brauchen Sie die nackte Domain ebenfalls, tragen Sie sie separat ein. Öffentliche CAs validieren Platzhalter zudem über DNS statt über HTTP, für die Ausstellung ist also Zugriff auf Ihre DNS-Einträge nötig.

ECDSA P-256 bietet etwa die Sicherheit von RSA 3072 bei deutlich kleinerem Schlüssel — schnellere Handshakes und weniger CPU pro Verbindung. RSA 2048 unterstützt schlicht alles, auch alte Geräte und manche Zahlungsterminals. Kontrollieren Sie die Clients, nehmen Sie ECDSA; wissen Sie nicht, was sich verbindet, RSA.