CSR-generator

Denne side opretter et nøglepar i browseren og signerer en PKCS#10-certifikatanmodning med det. Til sidst får man to filer: den private nøgle som -----BEGIN PRIVATE KEY----- (PKCS#8) og anmodningen som -----BEGIN CERTIFICATE REQUEST-----, plus den rå DER-form, som et udstederportal typisk beder om. Udfyld emnefelterne, tilføj de navne certifikatet skal dække, tryk på Generér, og send kun anmodningen til certifikatudstederen — nøglefilen bliver hos brugeren.
1. Nøgle
RSA 2048 bit, signed with SHA-256.
RSA 2048 accepteres alle steder og er den sikre standard. 3072 og 4096 tager længere tid at generere — på en langsom maskine kan RSA 4096 tage flere sekunder, og denne side viser den forløbne tid, så man kan lade resultatet være.
2. Emne
Felter, der lades tomme, udelades helt af anmodningen. CN er begrænset til 64 tegn, og kommercielle certifikatudstedere ignorerer det stadig oftere — det, de og browserne kontrollerer, er de alternative emnenavne nedenfor.
3. Alternative emnenavne
Én post pr. linje. En linje uden præfiks behandles som et DNS-navn, så www.example.com og dns:www.example.com betyder det samme; en adresseliteral som 192.0.2.10 tages som en IP-adresse, også uden præfiks. Præfikserne dns:, ip:, email: og uri: genkendes. Et jokertegn er kun tilladt som den yderste venstre etiket (*.example.com), fordi browsere ignorerer det alle andre steder.
4. Generér
intet genereret endnu
Resultat
Intet genereret endnu. Udfyld mindst et fælles navn, tryk på Generér nøgle og anmodning, så vises den private nøgle og anmodningen her med knapper til at gemme dem.
Brug dette par til test, interne tjenester og læring. En nøgle genereret i en webside er kun så sikker som maskinen, den kører på, og den downloadede private nøgle er ukrypteret: enhver, der åbner filen, har nøglen. Til et certifikat, som det offentlige internet skal stole på, bør certifikatudstederen eller ens egen server generere nøglen, og den bør opbevares et sted, hvor den ikke kan kopieres.
Hvad en CSR er: en PKCS#10-anmodning indeholder den offentlige nøgle, de navnefelter, der er indtastet, og de navne certifikatet skal dække, og det hele er signeret med den private nøgle. Signaturen beviser, at anmodningen ikke er ændret undervejs til certifikatudstederen. Den private nøgle er ikke en del af anmodningen og kan ikke genskabes ud fra den.

Hvad denne side ikke gør: den kontakter ikke en certifikatudsteder, registrerer ikke noget og kan ikke fortælle, om udstederen accepterer disse felter — hver udsteder tilføjer egne regler. Den krypterer heller ikke nøglefilen; hvis det er nødvendigt, pakkes nøglen ind i PKCS#8-kryptering eller en PKCS#12-container med egne værktøjer.

Privatliv: nøglepar genereres af browserens egen kryptografi, og anmodningen signeres her. Ingen upload, ingen server, ingen cookies, ingen analyse — siden virker lige så godt fra en lokal fil. Når resultatet dekodes, læser certifikatdekoderen det tilbage uden netværksadgang.

Og så hvad: indsæt anmodningen i udstederens bestillingsformular, eller signér den selv på generatoren for selvsignerede certifikater for at se hele vejen fra nøgle til certifikat.