CSR 생성기 — 인증서 서명 요청과 개인 키

인증서 서명 요청(CSR)과 개인 키를 함께 만드는 온라인 도구입니다. 키 쌍은 WebCrypto API를 통해 브라우저에서 생성되고, 요청도 그 자리에서 조립되어 서명됩니다. RSA나 ECDSA를 고르고 인증서가 담당해야 할 호스트 이름을 모두 적은 뒤, 결과를 원하는 인증 기관에 보내세요 — Let's Encrypt, DigiCert, Sectigo, GlobalSign, 또는 사내 CA.

사용법

1
도메인을 나열하세요

한 줄에 하나씩. 둘 다 서비스한다면 example.com과 www.example.com을 모두 넣으세요. 인증서에게는 서로 다른 이름입니다.

2
키 종류를 고르세요

확신이 없으면 RSA 2048. 모든 곳에서 동작합니다. 스택이 최신이라면 ECDSA P-256.

3
CA가 요구하면 조직 정보를 채우세요

도메인 검증 인증서는 이 값을 전혀 보지 않습니다. 조직 검증과 확장 검증 인증서는 법인 등록 정보와 일치해야 합니다.

4
키는 저장하고 요청은 보내세요

둘 다 내려받으세요. CSR은 인증 기관에 필요한 파일이고, 키는 발급받은 인증서와 함께 서버에 설치하는 파일입니다.

도메인을 적어 넣고 서로 짝이 맞는 요청과 키를 받으세요

한 줄에 하나씩 또는 쉼표로 구분하세요. 첫 번째가 Common Name이 되고, 전부 SAN 확장에 들어갑니다. 브라우저가 보는 곳은 SAN뿐입니다.
조직 정보와 키 비밀번호(선택)
암호화된 키는 재시작할 때마다 풀어야 하므로, 웹 서버는 거의 언제나 암호화하지 않은 키로 설정합니다.

기능

모든 도메인이 SAN에 들어갑니다
손으로 만든 요청에서 가장 흔한 결함은 대응하는 SAN 항목이 없는 Common Name입니다. 브라우저가 CN을 무시하므로 그런 인증서는 아무것도 포함하지 못합니다. 여기서는 CN이 항상 SAN 항목이기도 하며, SAN 없는 요청을 만들 방법 자체가 없습니다.
RSA 또는 ECDSA
호환성을 최대로 하려면 RSA 2048/3072/4096, 키를 줄이고 핸드셰이크를 빠르게 하려면 ECDSA P-256/P-384. 서명 해시는 SHA-256, SHA-384, SHA-512 중에서 고릅니다.
방금 만든 요청을 스스로 점검합니다
생성된 CSR을 다시 읽어 자체 서명을 검증하고 결과를 살핍니다: 공개 CA가 발급할 수 없는 내부 이름, 지나치게 넓은 와일드카드, 호스트 이름의 밑줄, 형식이 잘못된 국가 코드.
원한다면 키 암호화
개인 키는 AES-256과 PBKDF2-SHA256으로 암호화해 내보낼 수 있습니다. openssl, nginx, Apache가 모두 읽는 표준 PKCS#8 형태입니다.
openssl 등가 명령을 보여 줍니다
모든 요청에는 같은 결과를 내는 openssl 명령이 함께 나옵니다. 배포 스크립트용으로, 서버에서 그대로 재현해야 하는 동료를 위해, 또는 이 페이지가 한 일을 확인하기 위해.
브라우저에서 동작합니다
키 생성, 요청 조립, 서명이 모두 WebCrypto API를 통해 브라우저 탭 안에서, 브라우저의 암호학적 난수원을 써서 이루어집니다.

자주 묻는 질문

왜 Common Name을 SAN 목록에도 넣나요?

브라우저가 2017년부터 Common Name을 읽지 않기 때문입니다. Chrome이 58에서 그 대체 경로를 없앴고 나머지도 뒤따랐습니다. 도메인이 CN에만 있는 인증서는 어떤 호스트 이름과도 맞지 않습니다. 일부 CA는 발급할 때 CN을 조용히 SAN에 복사하지만, 많은 CA는 그냥 요청을 반려합니다. 양쪽 모두에 넣으면 이 문제 자체가 사라집니다.

조직 필드가 꼭 필요한가요?

조직 검증(OV)과 확장 검증(EV) 인증서에만 필요합니다. 그때는 CA가 법인 등록 정보와 대조하고 불일치를 반려합니다. 도메인 검증만 하는 일반 인증서 — Let's Encrypt의 모든 인증서를 포함해 — 에서는 무시되므로 비워 두어도 괜찮습니다.

개인 키를 암호화해야 하나요?

웹 서버라면 보통은 아닙니다. 암호화된 키는 시작할 때마다 풀어야 하므로 재부팅 후 서버가 사람 없이 다시 올라오지 못합니다. 그래서 nginx와 Apache는 거의 언제나 파일 권한으로 보호한 암호화되지 않은 키로 설정합니다. 장비 사이로 옮기거나 공용 저장소에 둘 예정이라면 암호화하세요.

와일드카드를 요청할 수 있나요?

가능합니다. *.example.com 처럼 쓰세요. 다만 와일드카드는 레이블 하나만 덮으므로 *.example.com은 www.example.com과 맞지만 example.com 자체나 a.b.example.com과는 맞지 않습니다. 맨 도메인도 필요하면 따로 적으세요. 게다가 공개 CA는 와일드카드를 HTTP가 아니라 DNS로 검증하므로 발급에 DNS 레코드 접근 권한이 필요합니다.

여기서 RSA와 ECDSA는 어떻게 다른가요?

ECDSA P-256은 훨씬 작은 키로 대략 RSA 3072 수준의 안전성을 냅니다. 핸드셰이크가 빠르고 연결당 CPU도 덜 씁니다. RSA 2048은 오래된 장비와 일부 결제 단말을 포함해 정말 모든 곳에서 지원됩니다. 클라이언트를 통제할 수 있다면 ECDSA, 무엇이 접속할지 모른다면 RSA입니다.

이런 도구도 있어요

🧰 Let's Encrypt 진단 🔐 SSL 검사기 📜 SSL 인증서 디코더 ⛓️ 인증서 체인 수리 🔄 인증서 형식 변환기 🏷️ 자체 서명 인증서 생성기 🔗 키·인증서 대조

이 도구를 어떻게 평가하시겠습니까?

평가해 주셔서 감사합니다!
더 공유하고 싶으신가요? 댓글을 남겨주세요!
감사합니다! 검토 후 댓글이 표시됩니다.
누구를 위한 도구인가요?
💻 개발자 & IT 전문가
게시일 업데이트 제작자: