Генератор CSR — запит на підписання сертифіката та приватний ключ

Онлайн-інструмент для створення запиту на підписання сертифіката (CSR) разом із приватним ключем. Пара ключів генерується у вашому браузері через WebCrypto API — там же збирається й підписується запит. Оберіть RSA або ECDSA, вкажіть усі хостнейми, які має охоплювати сертифікат, і надішліть готовий запит до будь-якого центру сертифікації — Let's Encrypt, DigiCert, Sectigo, GlobalSign або корпоративного CA.

Як користуватися

1
Вкажіть домени

По одному на рядок. Якщо ви обслуговуєте і example.com, і www.example.com, вкажіть обидва — для сертифіката це різні імена.

2
Оберіть тип ключа

RSA 2048, якщо не впевнені — він сумісний із усім. ECDSA P-256, якщо ваш стек сучасний.

3
Додайте дані організації, якщо цього вимагає CA

Сертифікати з перевіркою домену їх повністю ігнорують. Сертифікати OV і EV вимагають, щоб ці дані збігалися з вашою юридичною реєстрацією.

4
Збережіть ключ, надішліть запит

Завантажте обидва файли. CSR потрібен вашому центру сертифікації; ключ — це файл, який ви встановлюєте поряд із виданим сертифікатом.

🔥 Зараз у тренді
🗣️ Текст у мовлення ✨ Покращення відео ✂️ Обрізати аудіо ✨ Підсилювач аудіо 🎭 Зміна голосу 🎙️ Видалення вокалу 🎬 Відео з аудіо 🎬 Обрізання відео

Вкажіть домени — отримайте запит і відповідний ключ

По одному на рядок або через кому. Перший стає Common Name; усі вони потрапляють у розширення SAN — саме там браузери перевіряють домени.
Дані організації та пароль ключа (необов’язково)
Зашифрований ключ доводиться розблоковувати при кожному перезапуску, тому більшість веб-серверів налаштовують із незашифрованим ключем.
Не знаєте, що спробувати?
700+ інструментів — відкрийте сюрприз
🎲 Здивуйте мене

Що вміє інструмент

Усі домени потрапляють у SAN
Найпоширеніша помилка у вручну складеному запиті — Common Name без відповідного запису в SAN. Браузери ігнорують CN, тому такий сертифікат не захищає жодного хостнейму. Тут CN завжди також є записом SAN, і створити запит без нього неможливо.
RSA або ECDSA
RSA 2048/3072/4096 для максимальної сумісності або ECDSA P-256/P-384 для менших ключів і швидших з’єднань. SHA-256, SHA-384 або SHA-512 для підпису.
Перевіряє щойно створений запит
Згенерований CSR розбирається назад, перевіряється самопідпис, а результат аналізується: внутрішні імена, для яких публічний CA не видає сертифікати, надто широкі wildcard-маски, підкреслення в хостнеймах, неправильний формат коду країни.
Шифрування ключа (за вибором)
Приватний ключ можна зберегти зашифрованим за допомогою AES-256 і PBKDF2-SHA256 у стандартному форматі PKCS#8, який читають openssl, nginx і Apache.
Показує еквівалент через openssl
До кожного запиту додається команда openssl, яка дала б той самий результат — для скрипту розгортання, для колеги, якому потрібно зробити це на сервері, або просто щоб перевірити, що зробила сторінка.
Працює у браузері
Генерація ключа, складання та підписання запиту — все відбувається у вашій вкладці через WebCrypto API з використанням криптографічного генератора випадкових чисел браузера.

Часті запитання

Навіщо інструмент додає Common Name до списку SAN?

Тому що браузери не перевіряють Common Name з 2017 року. Chrome прибрав підтримку CN у версії 58, інші зробили те саме. Сертифікат, у якого домен є лише в CN, не відповідає жодному хостнейму. Деякі CA при видачі автоматично копіюють CN у SAN; багато просто відхиляють запит. Вказати домен в обох місцях знімає це питання.

Чи потрібні поля організації?

Тільки для сертифікатів із перевіркою організації (OV) і розширеною перевіркою (EV), де CA звіряє ці дані з вашою юридичною реєстрацією та відхиляє розбіжності. Для звичайного сертифіката з перевіркою домену — включно з усіма від Let's Encrypt — ці поля ігноруються, їх можна залишити порожніми.

Чи варто шифрувати приватний ключ?

Зазвичай ні — для веб-сервера. Зашифрований ключ потрібно розблоковувати при кожному запуску, тому сервер не зможе піднятися без участі людини після перезавантаження. Саме тому nginx і Apache майже завжди налаштовують із незашифрованим ключем, захищеним правами доступу до файлу. Шифруйте ключ, якщо збираєтеся переносити його між машинами або зберігати у спільному місці.

Чи можна запросити wildcard?

Так — вкажіть *.example.com. Зверніть увагу: wildcard покриває рівно один рівень, тому *.example.com підходить для www.example.com, але не для самого example.com і не для a.b.example.com. Якщо потрібен і голий домен, вкажіть його окремо. Публічні CA також перевіряють wildcard через DNS, а не HTTP, тому для видачі потрібен доступ до ваших DNS-записів.

У чому різниця між RSA і ECDSA?

ECDSA P-256 забезпечує приблизно той самий рівень захисту, що й RSA 3072, але з набагато меншим ключем — а це швидші з’єднання і менше навантаження на CPU. RSA 2048 підтримується абсолютно всім: старими пристроями, деякими платіжними терміналами. Якщо ви контролюєте клієнтів — оберіть ECDSA; якщо не знаєте, що до вас підключатиметься — RSA.

💡 Хочете, щоб ми покращили цей інструмент спеціально для вас?

Звичайно! Просто надішліть нам коротке повідомлення з вашою ідеєю. Якщо хочете обговорити детальніше — залиште email, і ми зв’яжемося з вами. Можна залишитися анонімом.

Може сподобатися

⛓️ Виправлення ланцюжка сертифікатів 🏷️ Генератор самопідписаних сертифікатів 📜 Декодер SSL-сертифікатів 🧰 Діагностика Let's Encrypt 🔗 Звірення ключа та сертифіката 🔄 Конвертер форматів сертифікатів 🔐 Перевірка SSL

Як ви оцінюєте цей інструмент?

Дякуємо за вашу оцінку!
Хочете розповісти більше? Залиште коментар!
Дякуємо! Ваш коментар з’явиться після модерації.
Для кого цей інструмент?
💻 Розробники та ІТ-спеціалісти
Опубліковано Оновлено Автор: