CSR-generator

Deze pagina maakt in uw browser een sleutelpaar aan en ondertekent er een PKCS#10-certificaataanvraag mee. Aan het eind krijgt u twee bestanden: de privésleutel als -----BEGIN PRIVATE KEY----- (PKCS#8) en de aanvraag als -----BEGIN CERTIFICATE REQUEST-----, plus de ruwe DER-vorm die een CA-portaal meestal vraagt. Vul de onderwerpvelden in, voeg de namen toe die het certificaat moet dekken, druk op Genereren en geef alleen de aanvraag aan uw certificaatautoriteit — het sleutelbestand blijft bij u.
1. Sleutel
RSA 2048 bit, signed with SHA-256.
RSA 2048 wordt overal geaccepteerd en is de veilige standaard. 3072 en 4096 kosten meer tijd om te genereren — op een trage computer kan RSA 4096 enkele seconden duren; deze pagina toont de verstreken tijd en u kunt het resultaat laten liggen tot het klaar is.
2. Onderwerp
Velden die u leeg laat, worden helemaal uit de aanvraag weggelaten. CN is beperkt tot 64 tekens, en commerciële CA's negeren het steeds vaker — wat zij en de browsers controleren zijn de alternatieve onderwerpnamen hieronder.
3. Alternatieve onderwerpnamen
Eén vermelding per regel. Een regel zonder voorvoegsel wordt behandeld als een DNS-naam, dus www.example.com en dns:www.example.com betekenen hetzelfde; een adresliteral zoals 192.0.2.10 wordt ook zonder voorvoegsel als IP-adres behandeld. De voorvoegsels dns:, ip:, email: en uri: worden herkend. Een wildcard is alleen toegestaan als meest linkse label (*.example.com), omdat browsers die elders negeren.
4. Genereren
nog niets gegenereerd
Resultaat
Nog niets gegenereerd. Vul ten minste een gemeenschappelijke naam in, druk op Sleutel en aanvraag genereren, en de privésleutel en de aanvraag verschijnen hier met knoppen om ze op te slaan.
Gebruik dit paar voor tests, interne diensten en leren. Een sleutel die in een webpagina is gegenereerd is alleen zo veilig als de machine waarop hij draait, en de privésleutel die u downloadt is niet versleuteld: iedereen die dat bestand opent heeft uw sleutel. Voor een certificaat dat het publieke internet moet vertrouwen, laat uw certificaatautoriteit of uw eigen server de sleutel genereren, en bewaar die op een plek waar hij niet gekopieerd kan worden.
Wat een CSR is: een PKCS#10-aanvraag bevat uw publieke sleutel, de naamvelden die u hebt ingevuld en de namen die het certificaat moet dekken, en het geheel is ondertekend met uw privésleutel. De handtekening bewijst dat de aanvraag niet is gewijzigd onderweg naar de CA. Uw privésleutel maakt geen deel uit van de aanvraag en kan er niet uit worden teruggehaald.

Wat deze pagina niet doet: hij neemt geen contact op met een CA, registreert niets en kan u niet vertellen of uw CA deze velden accepteert — elke CA voegt zijn eigen regels toe. Hij versleutelt het sleutelbestand ook niet; als u dat nodig hebt, verpak de sleutel dan met PKCS#8-versleuteling of een PKCS#12-container met uw eigen hulpmiddelen.

Privacy: het sleutelpaar wordt gegenereerd met de eigen cryptografie van de browser en de aanvraag wordt hier ondertekend. Geen upload, geen server, geen cookies, geen analyse — de pagina werkt net zo goed vanuit een lokaal bestand. Wanneer u het resultaat decodeert, leest de certificaatdecoder het ook zonder enige netwerktoegang terug.

En dan: plak de aanvraag in het bestelformulier van uw CA, of onderteken haar zelf met de generator voor zelfondertekende certificaten om het hele pad van sleutel tot certificaat te zien.