Generator CSR

Această pagină creează o pereche de chei în interiorul browserului și semnează cu ea o cerere de certificat PKCS#10. La final se obțin două fișiere: cheia privată sub forma -----BEGIN PRIVATE KEY----- (PKCS#8) și cererea sub forma -----BEGIN CERTIFICATE REQUEST-----, plus forma DER brută pe care o cere de obicei un portal de AC. Se completează câmpurile subiectului, se adaugă numele pe care trebuie să le acopere certificatul, se apasă Generare și se trimite autorității de certificare doar cererea — fișierul cheii rămâne pe calculator.
1. Cheie
RSA 2048 bit, signed with SHA-256.
RSA 2048 este acceptat peste tot și este valoarea implicită sigură. 3072 și 4096 cer mai mult timp de generare — pe un calculator lent RSA 4096 poate dura câteva secunde, iar această pagină afișează timpul scurs și permite renunțarea la așteptare.
2. Subiect
Câmpurile lăsate goale sunt omise complet din cerere. CN este limitat la 64 de caractere, iar autoritățile comerciale ignoră tot mai des acest câmp — ceea ce verifică ele și browserele sunt numele alternative ale subiectului de mai jos.
3. Nume alternative ale subiectului
Câte o intrare pe rând. O linie fără prefix este tratată ca nume DNS, deci www.example.com și dns:www.example.com înseamnă același lucru; un literal de adresă, precum 192.0.2.10, este considerat adresă IP chiar și fără prefix. Prefixele dns:, ip:, email: și uri: sunt recunoscute. Un wildcard este permis doar ca etichetă cea mai din stânga (*.example.com), deoarece browserele îl ignoră în altă parte.
4. Generare
nimic generat încă
Rezultat
Nimic generat încă. Se completează cel puțin un nume comun, se apasă Generare cheie și cerere, iar cheia privată și cererea apar aici, cu butoane pentru a le salva.
Se folosește această pereche pentru teste, servicii interne și învățare. O cheie generată într-o pagină web este atât de sigură cât este calculatorul pe care rulează, iar cheia privată descărcată nu este criptată: oricine deschide acel fișier are cheia. Pentru un certificat în care internetul public trebuie să aibă încredere, se lasă autoritatea de certificare sau propriul server să genereze cheia, iar cheia se păstrează într-un loc unde nu poate fi copiată.
Ce este un CSR: o cerere PKCS#10 conține cheia publică, câmpurile de nume introduse și numele pe care trebuie să le acopere certificatul, iar totul este semnat cu cheia privată. Semnătura este cea care dovedește că cererea nu a fost modificată pe drumul către AC. Cheia privată nu face parte din cerere și nu poate fi recuperată din ea.

Ce nu face această pagină: nu contactează o AC, nu înregistrează nimic și nu poate spune dacă AC-ul va accepta aceste câmpuri — fiecare AC adaugă propriile reguli. De asemenea, nu criptează fișierul cheii; dacă este nevoie de asta, cheia se învelește în criptare PKCS#8 sau într-un container PKCS#12 cu propriile instrumente.

Confidențialitate: perechea de chei este generată de criptografia proprie a browserului, iar cererea este semnată aici. Fără încărcări, fără server, fără cookie-uri, fără analize — pagina funcționează la fel de bine dintr-un fișier local. Când rezultatul se decodează, decodorul de certificate îl citește înapoi, de asemenea fără niciun acces la rețea.

Și apoi: cererea se lipește în formularul de comandă al AC-ului sau se semnează singur pe generatorul de certificate autosemnate, pentru a vedea întregul drum de la cheie la certificat.