Gerador de CSR

Esta página cria um par de chaves dentro do seu navegador e assina com ele um pedido de certificação PKCS#10. No fim recebe dois ficheiros: a chave privada como -----BEGIN PRIVATE KEY----- (PKCS#8) e o pedido como -----BEGIN CERTIFICATE REQUEST-----, além da forma DER em bruto que um portal de CA normalmente pede. Preencha os campos do assunto, acrescente os nomes que o certificado deve cobrir, carregue em Gerar, e entregue apenas o pedido à sua autoridade de certificação — o ficheiro da chave fica consigo.
1. Chave
RSA 2048 bit, signed with SHA-256.
O RSA 2048 é aceite em todo o lado e é a predefinição segura. Os 3072 e 4096 demoram mais tempo a gerar — num computador lento o RSA 4096 pode levar alguns segundos, e esta página mostra o tempo decorrido e permite-lhe afastar-se do resultado.
2. Assunto
Os campos que deixar vazios são omitidos do pedido. O CN é limitado a 64 caracteres, e as autoridades de certificação comerciais cada vez mais o ignoram — o que elas e os navegadores verificam são os nomes alternativos do assunto abaixo.
3. Nomes alternativos do assunto
Uma entrada por linha. Uma linha sem prefixo é tratada como nome DNS, pelo que www.example.com e dns:www.example.com significam o mesmo; um endereço literal como 192.0.2.10 é tomado como endereço IP mesmo sem prefixo. Os prefixos dns:, ip:, email: e uri: são reconhecidos. Um curinga só é permitido como primeira etiqueta à esquerda (*.example.com), porque os navegadores o ignoram em qualquer outra posição.
4. Gerar
nada gerado ainda
Resultado
Nada gerado ainda. Preencha pelo menos um nome comum, carregue em Gerar chave e pedido, e a chave privada e o pedido aparecem aqui com botões para os guardar.
Use este par para testes, serviços internos e aprendizagem. Uma chave gerada numa página web só é tão segura quanto a máquina onde corre, e a chave privada que transfere não está cifrada: quem abrir esse ficheiro tem a sua chave. Para um certificado em que a Internet pública tem de confiar, deixe a sua autoridade de certificação ou o seu próprio servidor gerar a chave, e guarde-a num local onde não possa ser copiada.
O que é um CSR: um pedido PKCS#10 contém a sua chave pública, os campos de nome que escreveu e os nomes que o certificado deve cobrir, e tudo isso é assinado com a sua chave privada. A assinatura é o que prova que o pedido não foi alterado a caminho da CA. A sua chave privada não faz parte do pedido e não pode ser recuperada a partir dele.

O que esta página não faz: não contacta uma CA, não regista nada, e não pode dizer-lhe se a sua CA aceitará estes campos — cada CA acrescenta as suas próprias regras. Também não cifra o ficheiro da chave; se precisar disso, envolva a chave em cifragem PKCS#8 ou num contentor PKCS#12 com as suas próprias ferramentas.

Privacidade: o par de chaves é gerado pela criptografia do próprio navegador e o pedido é assinado aqui. Sem envio, sem servidor, sem cookies, sem análises — a página funciona a partir de um ficheiro local da mesma forma. Ao descodificar o resultado, o descodificador de certificados lê-o de volta sem qualquer acesso à rede.

E depois? cole o pedido no formulário de encomenda da sua CA, ou assine-o você mesmo no gerador de certificados autoassinados para ver o caminho completo desde a chave até ao certificado.