Gerador de CSR

O que é gerado

Dois arquivos PEM:

example.csr (público, enviado à AC):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key (privado, permanece no seu servidor):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

O CSR é assinado com a chave privada como prova de posse. Quando a AC emite o certificado, a chave pública do certificado corresponderá à chave do CSR, que corresponderá à chave privada do seu servidor.

Este gerador cria um CSR com o nome comum que você informar e sem extensões Subject Alternative Name (SAN). Se o seu certificado precisar cobrir vários hostnames, use as ferramentas da sua AC: clientes ACME como o Let’s Encrypt constroem a solicitação para você, e a maioria dos formulários web das ACs adiciona os nomes extras ao enviar.

Requisitos de campos por tipo de certificado

O Let’s Encrypt e a maioria dos emissores DV automatizados olham apenas o nome comum. ACs corporativas que emitem certificados OV/EV verificam os dados da organização em registros comerciais.

Tamanhos de chave

Para um servidor web público, RSA 2048 é o padrão seguro. Escolha 3072 ou 4096 bits se quiser uma margem de segurança maior e aceitar geração de chaves, handshakes e certificados mais lentos e maiores.

Onde os CSRs dão errado

• O certificado não cobre o hostname: os navegadores mostram “NET::ERR_CERT_COMMON_NAME_INVALID” quando o certificado não cobre o nome exato que você visitou. O nome comum deve corresponder ao hostname completo, incluindo www se você o usar. Como este gerador cria uma solicitação com um único CN, use as ferramentas da sua AC quando precisar de nomes adicionais.
• Limite de curingas: um curinga *.example.com corresponde apenas a um nível de subdomínio. Ele não corresponde a api.v2.example.com.
• Domínio raiz e curinga são nomes diferentes: *.example.com não cobre o example.com puro; você precisa dos dois como nomes separados no certificado.
• Endereço IP: a maioria das ACs públicas não emite mais certificados para endereços IP; você deve usar um hostname.

Depois de gerar

1. Guarde a chave privada em local seguro. Permissões 0600, de propriedade do usuário do servidor web.
2. Cole o CSR no formulário web ou na ferramenta CLI da sua AC (o Let’s Encrypt via ACME normalmente cuida disso automaticamente).
3. Receba o certificado assinado (e a cadeia intermediária).
4. Instale no seu servidor tanto a cadeia de certificados quanto a chave privada.
5. Verifique com um verificador SSL.