CSR-Generator

Diese Seite erzeugt in Ihrem Browser ein Schlüsselpaar und signiert damit eine PKCS#10-Zertifikatsanforderung. Am Ende erhalten Sie zwei Dateien: den privaten Schlüssel als -----BEGIN PRIVATE KEY----- (PKCS#8) und die Anforderung als -----BEGIN CERTIFICATE REQUEST-----, dazu die rohe DER-Form, die ein CA-Portal meist verlangt. Füllen Sie die Subject-Felder aus, fügen Sie die Namen hinzu, die das Zertifikat abdecken muss, drücken Sie Erzeugen und geben Sie nur die Anforderung an Ihre Zertifizierungsstelle weiter — die Schlüsseldatei bleibt bei Ihnen.
1. Schlüssel
RSA 2048 bit, signed with SHA-256.
RSA 2048 wird überall akzeptiert und ist der sichere Standard. 3072 und 4096 brauchen mehr Zeit zur Erzeugung — auf einem langsamen Rechner kann RSA 4096 einige Sekunden dauern; diese Seite zeigt die verstrichene Zeit und lässt Sie das Ergebnis auch verwerfen.
2. Subject
Felder, die Sie leer lassen, fehlen in der Anforderung vollständig. CN ist auf 64 Zeichen begrenzt, und kommerzielle CAs ignorieren es zunehmend ohnehin — geprüft werden von ihnen und den Browsern die unten stehenden alternativen Namen des Subjects.
3. Alternative Namen des Subjects
Ein Eintrag pro Zeile. Eine Zeile ohne Präfix wird als DNS-Name behandelt; www.example.com und dns:www.example.com bedeuten dasselbe. Eine Adressangabe wie 192.0.2.10 wird auch ohne Präfix als IP-Adresse verstanden. Die Präfixe dns:, ip:, email: und uri: werden erkannt. Ein Platzhalter ist nur als linkestes Label erlaubt (*.example.com), weil Browser ihn an keiner anderen Stelle beachten.
4. Erzeugen
noch nichts erzeugt
Ergebnis
Noch nichts erzeugt. Füllen Sie mindestens einen Common Name aus, drücken Sie Schlüssel und Anforderung erzeugen, und der private Schlüssel sowie die Anforderung erscheinen hier mit Schaltflächen zum Speichern.
Verwenden Sie dieses Paar für Tests, interne Dienste und zum Lernen. Ein Schlüssel, der in einer Webseite erzeugt wurde, ist nur so sicher wie der Rechner, auf dem er läuft, und der heruntergeladene private Schlüssel ist unverschlüsselt: Wer diese Datei öffnet, hat Ihren Schlüssel. Für ein Zertifikat, dem das öffentliche Internet vertrauen muss, lassen Sie Ihre Zertifizierungsstelle oder Ihren eigenen Server den Schlüssel erzeugen und bewahren Sie ihn an einem Ort auf, an dem er nicht kopiert werden kann.
Was eine CSR ist: Eine PKCS#10-Anforderung enthält Ihren öffentlichen Schlüssel, die Namensfelder, die Sie eingegeben haben, und die Namen, die das Zertifikat abdecken soll; das Ganze ist mit Ihrem privaten Schlüssel signiert. Die Signatur beweist, dass die Anforderung auf dem Weg zur CA nicht verändert wurde. Ihr privater Schlüssel ist nicht Teil der Anforderung und lässt sich nicht aus ihr wiederherstellen.

Was diese Seite nicht tut: Sie kontaktiert keine CA, registriert nichts und kann Ihnen nicht sagen, ob Ihre CA diese Felder akzeptiert — jede CA fügt eigene Regeln hinzu. Sie verschlüsselt auch nicht die Schlüsseldatei; wenn Sie das brauchen, verpacken Sie den Schlüssel mit eigenen Werkzeugen in eine PKCS#8-Verschlüsselung oder einen PKCS#12-Container.

Datenschutz: Das Schlüsselpaar wird mit der eigenen Kryptografie des Browsers erzeugt, und die Anforderung wird hier signiert. Kein Upload, kein Server, keine Cookies, keine Analyse — die Seite funktioniert ebenso aus einer lokalen Datei. Wenn Sie das Ergebnis dekodieren, liest der Zertifikat-Decoder es ebenfalls ohne jeden Netzwerkzugriff.

Und dann? Fügen Sie die Anforderung in das Bestellformular Ihrer CA ein oder signieren Sie sie selbst mit dem Generator für selbstsignierte Zertifikate, um den ganzen Weg vom Schlüssel zum Zertifikat zu sehen.