Decodificador de CSR

O que o decodificador mostra

Uma CSR é uma estrutura ASN.1 (PKCS #10). O decodificador lê duas coisas dela:

• Assunto: os campos do Nome Distinto solicitados, normalmente o país (C), a organização (O), a unidade organizacional (OU), a localidade (L), o estado (ST) e o nome comum (CN).
• Chave pública: o algoritmo (RSA, EC, DSA) e o tamanho da chave em bits.

A assinatura dentro da CSR é o que prova à CA que o remetente possui a chave privada correspondente. Este decodificador não a exibe; a CA a verifica ao processar o pedido.

Exemplo de saída

Para um pedido de certificado de domínio típico, a saída tem este aspecto:

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

Os nomes exatos dos atributos do assunto dependem de como o pedido foi gerado.

Campos a verificar

• Nome Comum (CN): deve ser o nome do host principal. Navegadores modernos ignoram o CN e olham apenas para os SANs, mas muitas CAs ainda exigem um CN válido.
• Nomes Alternativos de Assunto (SANs): liste todos os nomes de host e curingas que o cert irá proteger. Navegadores fazem correspondência com os SANs, não com o CN.
• País (C): código ISO de 2 letras (US, GB, DE), não um nome completo. CAs rejeitam códigos errados.
• Tamanho da chave: RSA 2048 é o mínimo; 3072 ou 4096 para maior segurança. ECDSA P-256 é uma boa alternativa moderna e produz um cert menor.
• Algoritmo de assinatura: SHA-256 ou melhor. SHA-1 está obsoleto e será rejeitado.

Sobre os Nomes Alternativos de Assunto (SANs)

O decodificador mostra o assunto do pedido, mas não a extensão SAN. Os navegadores fazem correspondência dos certificados com os SANs, e não com o CN; se o certificado precisar cobrir mais nomes de host, inclua-os ao gerar o pedido, por exemplo:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Quando o decodificador não consegue analisar o CSR

As causas mais comuns são um bloco PEM truncado ou danificado:

• Texto truncado: recole o bloco completo, incluindo os dois marcadores.
• Quebras de linha inseridas: cole o bloco exatamente como foi gerado.
• Conteúdo errado: uma chave pública, um certificado ou uma chave privada colados por engano não serão analisados como um CSR.

Gerando a chave correspondente

Uma CSR é sempre gerada juntamente com uma chave privada. Comando típico:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Ou para ECDSA:

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

Proteja a chave privada, se ela vazar, o certificado deve ser revogado.