Pembuat CSR — permintaan penandatanganan dan kunci privat

Alat daring untuk membuat permintaan penandatanganan sertifikat (CSR) beserta kunci privatnya. Pasangan kunci dibangkitkan di peramban Anda lewat WebCrypto API, dan permintaan pun disusun serta ditandatangani di sana. Pilih RSA atau ECDSA, daftarkan semua nama host yang harus dicakup sertifikat, lalu kirim hasilnya ke otoritas sertifikat mana pun — Let's Encrypt, DigiCert, Sectigo, GlobalSign, atau CA internal.

Cara memakai

1
Daftarkan domain Anda

Satu per baris. Sertakan example.com dan www.example.com bila Anda melayani keduanya: bagi sertifikat itu dua nama berbeda.

2
Pilih jenis kunci

RSA 2048 bila ragu; ia bekerja dengan semuanya. ECDSA P-256 bila tumpukan Anda modern.

3
Isi data organisasi bila CA memintanya

Sertifikat dengan validasi domain mengabaikannya sepenuhnya. Sertifikat validasi organisasi dan validasi diperluas menuntut kecocokan dengan pendaftaran resmi Anda.

4
Simpan kuncinya, kirim permintaannya

Unduh keduanya. CSR adalah yang dibutuhkan otoritas sertifikat Anda; kunci adalah berkas yang Anda pasang berdampingan dengan sertifikat yang mereka terbitkan.

Isi domain Anda dan dapatkan permintaan serta kunci yang saling cocok

Satu per baris atau dipisah koma. Yang pertama menjadi Common Name; semuanya masuk ke ekstensi SAN — satu-satunya tempat yang dilihat peramban.
Data organisasi dan kata sandi kunci (opsional)
Kunci terenkripsi harus dibuka setiap kali server dinyalakan ulang, karena itu server web hampir selalu disetel dengan kunci tanpa enkripsi.

Kemampuan

Setiap domain masuk ke SAN
Cacat paling umum pada permintaan buatan tangan adalah Common Name tanpa entri SAN yang sepadan — peramban mengabaikan CN, sehingga sertifikatnya tidak mencakup apa pun. Di sini CN selalu sekaligus entri SAN, dan tidak ada cara membuat permintaan tanpa SAN.
RSA atau ECDSA
RSA 2048/3072/4096 untuk kompatibilitas maksimal, atau ECDSA P-256/P-384 untuk kunci lebih kecil dan jabat tangan lebih cepat. Tanda tangan dengan SHA-256, SHA-384, atau SHA-512.
Memeriksa permintaan yang baru dibuatnya
CSR yang dihasilkan dibaca ulang, tanda tangannya sendiri diverifikasi, dan hasilnya ditinjau: nama internal yang tidak bisa diterbitkan CA publik, wildcard terlalu luas, garis bawah pada nama host, kode negara berformat salah.
Enkripsi kunci sesuai kebutuhan
Kunci privat dapat ditulis terenkripsi dengan AES-256 dan PBKDF2-SHA256, dalam bentuk PKCS#8 standar yang dibaca openssl, nginx, dan Apache.
Menunjukkan padanan openssl
Tiap permintaan disertai perintah openssl yang menghasilkan hal sama — untuk skrip penerapan, untuk rekan yang membutuhkannya di server, atau sekadar untuk memeriksa apa yang halaman ini lakukan.
Berjalan di peramban
Pembuatan kunci, penyusunan, dan penandatanganan permintaan terjadi di tab Anda lewat WebCrypto API, memakai sumber keacakan kriptografis peramban Anda.

Pertanyaan umum

Kenapa alat ini menaruh Common Name juga di daftar SAN?

Karena peramban tidak lagi membaca Common Name sejak 2017. Chrome menghapus cadangan itu di versi 58 dan yang lain mengikuti, sehingga sertifikat yang domainnya hanya di CN tidak cocok dengan nama host mana pun. Sebagian CA diam-diam menyalin CN ke SAN saat menerbitkan; banyak lainnya langsung menolak permintaannya. Menaruhnya di kedua tempat menghapus keraguan itu.

Apakah saya butuh kolom organisasi?

Hanya untuk sertifikat validasi organisasi (OV) dan validasi diperluas (EV), di mana CA mencocokkannya dengan pendaftaran resmi Anda dan menolak bila berbeda. Untuk sertifikat biasa dengan validasi domain — termasuk semua yang dari Let's Encrypt — kolom itu diabaikan, jadi mengosongkannya tidak masalah.

Perlukah kunci privat dienkripsi?

Untuk server web biasanya tidak. Kunci terenkripsi harus dibuka setiap kali dinyalakan, jadi server tidak bisa bangkit sendiri setelah reboot — itulah sebabnya nginx dan Apache hampir selalu disetel dengan kunci tanpa enkripsi yang dilindungi izin berkas. Enkripsi bila Anda akan memindahkannya antarmesin atau menyimpannya di tempat bersama.

Bisakah saya meminta wildcard?

Bisa — tulis *.example.com. Perhatikan bahwa wildcard mencakup tepat satu label, jadi *.example.com cocok dengan www.example.com tetapi tidak dengan example.com sendiri maupun a.b.example.com. Bila domain polos juga dibutuhkan, tulis terpisah. CA publik pun memvalidasi wildcard lewat DNS, bukan HTTP, sehingga penerbitannya menuntut akses ke rekaman DNS Anda.

Apa beda RSA dan ECDSA di sini?

ECDSA P-256 memberi kira-kira keamanan RSA 3072 dengan kunci jauh lebih kecil, artinya jabat tangan lebih cepat dan CPU lebih ringan per sambungan. RSA 2048 didukung benar-benar semua, termasuk perangkat lama dan sebagian terminal pembayaran. Bila Anda menguasai kliennya, pilih ECDSA; bila tak tahu apa yang akan menyambung, pilih RSA.

Anda Mungkin Juga Suka

🔐 Cek SSL 📜 Dekoder sertifikat SSL 🧰 Diagnosis Let's Encrypt 🔄 Konverter format sertifikat ⛓️ Pembenah rantai sertifikat 🏷️ Pembuat sertifikat tanda tangan sendiri 🔗 Pencocok kunci dan sertifikat

Bagaimana Anda menilai alat ini?

Terima kasih atas penilaian Anda!
Ingin berbagi lebih? Tinggalkan komentar!
Terima kasih! Komentar Anda akan muncul setelah moderasi.
Siapa yang cocok menggunakan alat ini?
💻 Developer & IT Pro
Diterbitkan Diperbarui Penulis: