Generator CSR

Ta strona tworzy w przeglądarce parę kluczy i podpisuje nią żądanie certyfikacji PKCS#10. Na końcu otrzymuje się dwa pliki: klucz prywatny jako -----BEGIN PRIVATE KEY----- (PKCS#8) i żądanie jako -----BEGIN CERTIFICATE REQUEST-----, a także surową postać DER, o którą zwykle prosi portal urzędu. Wypełnij pola podmiotu, dodaj nazwy, które certyfikat ma obejmować, naciśnij Generuj i przekaż urzędowi certyfikacji tylko żądanie — plik klucza pozostaje po stronie wnioskodawcy.
1. Klucz
RSA 2048 bit, signed with SHA-256.
RSA 2048 jest akceptowany wszędzie i jest bezpiecznym domyślnym wyborem. 3072 i 4096 wymagają więcej czasu na wygenerowanie — na wolnym komputerze RSA 4096 może trwać kilka sekund, a ta strona pokazuje czas i pozwala odejść od wyniku.
2. Podmiot
Pola pozostawione puste są całkowicie pomijane w żądaniu. CN jest ograniczone do 64 znaków, a komercyjne urzędy certyfikacji coraz częściej i tak je ignorują — sprawdzane przez nie i przeglądarki są alternatywne nazwy podmiotu poniżej.
3. Alternatywne nazwy podmiotu
Jeden wpis w wierszu. Wiersz bez prefiksu jest traktowany jako nazwa DNS, więc www.example.com i dns:www.example.com znaczą to samo; literał adresu, np. 192.0.2.10, jest traktowany jako adres IP nawet bez prefiksu. Rozpoznawane są prefiksy dns:, ip:, email: i uri:. Symbol wieloznaczny jest dozwolony tylko jako najbardziej lewa etykieta (*.example.com), bo przeglądarki ignorują go w innych miejscach.
4. Generowanie
nic jeszcze nie wygenerowano
Wynik
Nic jeszcze nie wygenerowano. Wpisz co najmniej nazwę pospolitą, naciśnij Generuj klucz i żądanie, a klucz prywatny i żądanie pojawią się tutaj z przyciskami do ich zapisania.
Użyj tej pary do testów, usług wewnętrznych i nauki. Klucz wygenerowany na stronie internetowej jest tak bezpieczny, jak maszyna, na której działa, a pobrany klucz prywatny jest niezaszyfrowany: każdy, kto otworzy ten plik, ma klucz. Dla certyfikatu, któremu ma ufać publiczny internet, pozwól urzędowi certyfikacji lub własnemu serwerowi wygenerować klucz i trzymaj go w miejscu, z którego nie da się go skopiować.
Czym jest CSR: żądanie PKCS#10 zawiera klucz publiczny, wpisane pola nazw i nazwy, które certyfikat ma obejmować; całość jest podpisana kluczem prywatnym. Podpis dowodzi, że żądanie nie zostało zmienione w drodze do urzędu certyfikacji. Klucz prywatny nie jest częścią żądania i nie da się go z niego odzyskać.

Czego ta strona nie robi: nie kontaktuje się z urzędem certyfikacji, niczego nie rejestruje i nie powie, czy urząd zaakceptuje te pola — każdy urząd dokłada własne reguły. Nie szyfruje też pliku klucza; jeśli jest to potrzebne, owiń klucz szyfrowaniem PKCS#8 lub kontenerem PKCS#12 własnymi narzędziami.

Prywatność: para kluczy jest generowana kryptografią wbudowaną w przeglądarkę, a żądanie jest podpisywane tutaj. Bez wysyłania, bez serwera, bez ciasteczek, bez analityki — strona działa równie dobrze z pliku lokalnego. Po zdekodowaniu wyniku dekoder certyfikatów odczytuje go również bez dostępu do sieci.

Co dalej: wklej żądanie do formularza zamówienia u swojego urzędu certyfikacji albo podpisz je sam w generatorze certyfikatów samopodpisanych, aby zobaczyć całą drogę od klucza do certyfikatu.