Generátor CSR

Táto stránka vytvorí pár kľúčov vo vnútri prehliadača a podpíše ním žiadosť o certifikát PKCS#10. Na konci sa získajú dva súbory: súkromný kľúč ako -----BEGIN PRIVATE KEY----- (PKCS#8) a žiadosť ako -----BEGIN CERTIFICATE REQUEST-----, plus surový tvar DER, ktorý zvyčajne vyžaduje portál CA. Vyplnia sa polia predmetu, pridajú sa názvy, ktoré má certifikát pokrývať, stlačí sa Vygenerovať a len žiadosť sa odovzdá certifikačnej autorite — súbor kľúča zostáva u držiteľa.
1. Kľúč
RSA 2048 bit, signed with SHA-256.
RSA 2048 je prijímaný všade a je bezpečnou predvoľbou. 3072 a 4096 si vyžadujú viac času na generovanie — na pomalšom počítači môže RSA 4096 trvať niekoľko sekúnd a táto stránka zobrazuje uplynulý čas a umožňuje odísť od výsledku a vrátiť sa k nemu neskôr.
2. Predmet
Polia, ktoré sa nechajú prázdne, sa z požiadavky úplne vynechajú. CN je obmedzené na 64 znakov a komerčné CA ho aj tak čoraz častejšie ignorujú — overujú sa názvy alternatívnych predmetov nižšie.
3. Alternatívne názvy predmetu
Jeden záznam na riadok. Riadok bez predpony sa považuje za názov DNS, takže www.example.com a dns:www.example.com znamenajú to isté; adresný literál ako 192.0.2.10 sa berie ako IP adresa aj bez predpony. Predpony dns:, ip:, email: a uri: sa rozpoznávajú. Zástupný znak je povolený iba ako úplne ľavý štítok (*.example.com), pretože prehliadače ho inde ignorujú.
4. Generovanie
zatiaľ nič nebolo vygenerované
Výsledok
Zatiaľ nič nebolo vygenerované. Vyplní sa aspoň bežný názov, stlačí sa Vygenerovať kľúč a žiadosť a súkromný kľúč a žiadosť sa zobrazia tu s tlačidlami na ich uloženie.
Tento pár sa používa na testovanie, interné služby a učenie. Kľúč vygenerovaný na webovej stránke je bezpečný iba tak, ako bezpečný je počítač, na ktorom beží, a stiahnutý súkromný kľúč nie je zašifrovaný: každý, kto otvorí ten súbor, má tento kľúč. Pre certifikát, ktorému musí dôverovať verejný internet, kľúč generuje certifikačná autorita alebo vlastný server a uchováva sa tam, kde sa nedá kopírovať.
Čo je CSR: žiadosť PKCS#10 obsahuje verejný kľúč, polia mien, ktoré boli zadané, a názvy, ktoré má certifikát pokrývať, a celé je podpísané súkromným kľúčom. Podpis dokazuje, že žiadosť nebola na ceste k CA zmenená. Súkromný kľúč nie je súčasťou žiadosti a z nej sa obnoviť nedá.

Čo táto stránka nerobí: nekontaktuje CA, nič nezaregistruje a nevie povedať, či CA tieto polia prijme — každé CA pridáva vlastné pravidlá. Ani nešifruje súbor kľúča; ak je potrebné ho šifrovať, kľúč sa obalí šifrovaním PKCS#8 alebo kontajnerom PKCS#12 vlastnými nástrojmi.

Súkromie: pár kľúčov vytvára kryptografia samotného prehliadača a žiadosť sa tu podpisuje. Žiadne nahrávanie, žiadny server, žiadne cookies, žiadna analytika — stránka funguje aj z lokálneho súboru. Pri dekódovaní výsledku ho dekodér certifikátov načíta späť bez akéhokoľvek sieťového prístupu.

Čo ďalej: žiadosť sa vloží do objednávkového formulára CA alebo sa podpíše samostatne v generátore self-signed certifikátov, aby sa ukázala celá cesta od kľúča po certifikát.