Генератор и декодер CSR

Что такое CSR и как этот инструмент его создаёт

Запрос на подпись сертификата (CSR) — это файл, который вы отправляете в удостоверяющий центр, например Let's Encrypt, DigiCert или внутренний CA вашей компании, чтобы получить TLS-сертификат. Он содержит ваш открытый ключ, данные субъекта (Common Name, организацию, населённый пункт и страну) и альтернативные имена субъекта (SAN), которые должен охватывать сертификат, и всё это подписано соответствующим закрытым ключом, чтобы доказать, что вы им владеете. Этот инструмент генерирует пару ключей с помощью Web Crypto API браузера и формирует стандартный запрос PKCS#10 с @peculiar/x509. Результат имеет тот же формат PEM, что и вывод openssl req -new, поэтому его примет любой CA.

Как правильно заполнить поля

Укажите основное имя хоста, например www.example.com, в поле Common Name и перечислите в поле SAN все имена, которые должен защищать сертификат, включая основной домен и wildcard-имена вроде *.example.com. Современные браузеры проверяют только SAN, поэтому инструмент по умолчанию добавляет Common Name в список SAN. Страна должна быть двухбуквенным кодом ISO, например US или DE. Поля организации и местоположения важны для сертификатов с проверкой организации (OV); для сертификатов с проверкой домена (DV) они обычно игнорируются. RSA 2048 совместим везде, а ECDSA P-256 даёт более компактные ключи и более быстрые рукопожатия.

Обращайтесь с закрытым ключом осторожно

Закрытый ключ никогда не покидает ваш браузер и никогда не входит в CSR. Сразу скачайте его и перенесите на сервер, который будет предъявлять сертификат, с правами доступа, позволяющими читать его только веб-серверу. Если вы потеряете ключ, выданным сертификатом нельзя будет воспользоваться, и придётся создать новый CSR. Никогда не отправляйте закрытый ключ удостоверяющему центру или кому-либо ещё. Перед отправкой воспользуйтесь вкладкой декодирования, чтобы проверить субъект, SAN и тип ключа, а также убедиться, что подпись CSR действительна.