CSR oluşturucu

İki dosyanın içeriği

CSR, PEM kodlamalı bir PKCS#10 isteğidir. Açık anahtarı, konu bilgilerini ve talep edilen SAN uzantısını içerir. İmzası, isteğin oluşturulması sırasında eşleşen özel anahtarın elde olduğunu kanıtlar. Güvenilir bir sertifika düzenlenmeden önce adların yine de sertifika yetkilisi tarafından doğrulanması gerekir.

İndirilen .key dosyası şifrelenmemiş bir PKCS#8 özel anahtarıdır. Kopyasını alan biri, ilgili sertifika değiştirilene veya süresi dolana kadar sunucunuzun kimliğine bürünebilir. Kısıtlı erişimli bir yerde saklayın, güvenli bir yedeğini alın ve sertifika yetkilinize yalnızca CSR dosyasını gönderin. Dosyayı indirmek, sunucunuza yüklemek anlamına gelmez.

İndirilen isteği OpenSSL ile inceleyebilirsiniz:

openssl req -in request.csr -noout -text -verify

Subject ve X509v3 Subject Alternative Name girdilerini, ardından düzenlenen sertifikayı da kontrol edin. Sertifika yetkilisi kendi düzenleme kurallarını uygulayabilir ve istenen her alanı veya uzantıyı sertifikaya taşımayabilir.

Sertifikada bulunması gereken adlar

Güncel genel TLS sertifikaları, kapsadıkları adları SAN girdileriyle belirtir. Tek başına Ortak Ad yeterli değildir. Ana makine adı için DNS SAN, IP adresi için IP SAN gerekir. IP adresini DNS SAN olarak girmek aynı sonucu vermez. Genel sertifika yetkilisi, talep edilen her ad veya adres üzerindeki kontrolünüzü doğrulamalıdır; bu yüzden düzgün bir CSR, sertifika düzenleneceğini garanti etmez. Bu aracı, kendi kurallarını uygulayan bir iç sertifika yetkilisine istek hazırlamak için de kullanabilirsiniz.

*.example.com gibi bir joker karakter, shop.example.com örneğindeki gibi yalnızca bir alt alan adı düzeyini kapsar. example.com veya api.shop.example.com adlarını kapsamaz; diğer adları ayrı ekleyin. Genel sertifika yetkilileri ayrılmış veya özel IP adresleri için sertifika düzenleyemez. Let’s Encrypt dahil bazı yetkililer genel IP sertifikası düzenler, ancak doğrulama ve geçerlilik süresi kuralları alan adı sertifikalarından farklı olabilir.

Güncel kurallar için CA/B Forum Temel Gereksinimleri, IP adreslerinin SAN alanında kullanımına ilişkin rehberi ve Let’s Encrypt’in IP sertifikası duyurusunu inceleyin.

Konu bilgileri ve anahtar boyutu

Kuruluş, konum, ülke ve e-posta alanları isteği tanımlar. Sertifika yetkilisi, OV veya EV sertifikasına ekleyeceği işletme kimliğini doğrular. Bu alanları doldurmak tek başına kimliği kanıtlamaz. Genel DV sertifikaları çoğunlukla işletme kimliği alanlarını içermez; yetkili, CSR içindeki kuruluş birimini (OU) de çıkarabilir.

CSR dosyasını göndermeden önce sertifika yetkilinizin kabul ettiği anahtar türlerini ve boyutlarını kontrol edin. Bu araç RSA anahtarları oluşturur; ECDSA anahtarı veya sertifika oluşturmaz.

Çalışmanızı koruyun

Dosyalar tarayıcınızda yerel olarak oluşturulur. Çok adımlı görünümde, sonraki adımın okuyabilmesi için form taslağı bu sekmenin geçici tarayıcı depolamasında tutulur. Özel anahtar ve CSR orada saklanmaz veya URL’ye eklenmez. Depolama kullanılamıyorsa araç tek sayfalık bir yol gösterir. Taslak kaybolursa baştan başlayıp bilgileri yeniden girin. Baştan başla işlemi taslağı ve oluşturulmuş sonucu temizler. İndirilen anahtarı güvenle saklayın; sayfadan ayrıldıktan sonra geri getirilemez.

Otomatik sertifika düzenleme ve yenileme için bir ACME istemcisi daha uygun olabilir. Kurulumunuza göre anahtar ve CSR oluşturabilir, sertifika yetkilisinin doğrulamasını tamamlayabilir ve yenilemeleri yükleyebilir.