CSR oluşturucu — sertifika imzalama isteği ve özel anahtar

Çünkü tarayıcılar 2017’den beri Common Name’e bakmıyor. Chrome 58 sürümünde bu yedek davranışı kaldırdı, diğerleri de aynısını yaptı; dolayısıyla alan adı yalnızca CN’de geçen bir sertifika hiçbir ana bilgisayar adıyla eşleşmez. Bazı CA’lar sertifika verirken CN’yi sessizce SAN’a kopyalar; birçoğu ise isteği doğrudan reddeder. İkisine birden yazmak bu sorunu ortadan kaldırır.

Yalnızca kuruluş doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV) sertifikalar için; CA bunları yasal kaydınızla karşılaştırır ve uyuşmazlığı reddeder. Let’s Encrypt’in verdikleri dahil sıradan alan adı doğrulamalı sertifikalarda bu alanlar yok sayılır, boş bırakmanız sorun olmaz.

Bir web sunucusu için genellikle hayır. Şifreli anahtarın her başlatmada açılması gerekir; bu yüzden sunucu yeniden başlatmadan sonra gözetimsiz ayağa kalkamaz. nginx ve Apache’nin neredeyse her zaman dosya izinleriyle korunan şifresiz anahtarla yapılandırılmasının nedeni budur. Anahtarı makineler arasında taşıyacaksanız ya da ortak bir yerde saklayacaksanız şifreleyin.

Evet — *.example.com yazın. Wildcard tam olarak tek bir etiketi kapsar; yani *.example.com, www.example.com ile eşleşir ama ne example.com’un kendisiyle ne de a.b.example.com ile eşleşir. Çıplak alan adı da gerekiyorsa ayrıca listeleyin. Herkese açık CA’lar wildcard’ları HTTP yerine DNS ile doğrular, bu yüzden sertifika alabilmek için DNS kayıtlarınıza erişiminiz olmalıdır.

ECDSA P-256, çok daha küçük bir anahtarla yaklaşık RSA 3072 düzeyinde güvenlik sağlar; bu da daha hızlı el sıkışma ve bağlantı başına daha az işlemci kullanımı demektir. RSA 2048 ise eski cihazlar ve bazı ödeme terminalleri dahil her şeyde desteklenir. İstemcileri siz belirliyorsanız ECDSA; bağlananların ne olduğundan emin değilseniz RSA.