CSR Decoder
Prüfen Sie Ihre CSR vor der SSL-Bestellung
Fügen Sie Ihre CSR ein und sehen Sie Domains, Firmenangaben und Schlüssel, die ins Zertifikat kommen – dazu Fehler, die eine Zertifizierungsstelle ablehnen würde, und den passenden SSL-Typ. Die CSR wird im Browser dekodiert, nicht hochgeladen.
CSR abgelehnt? Daran liegt es
Lehnt eine Zertifizierungsstelle eine CSR ab, liegt es meist an einem einzigen Feld: falsche Domain, zu kurzer Schlüssel, Ländercode nicht zweistellig oder ein Sonderzeichen. Wählen Sie Ihre Situation.
„Domain passt nicht zur CSR“
Die Domain der Bestellung muss exakt dem Common Name (CN) der CSR entsprechen; www.beispiel.de und beispiel.de sind verschiedene Namen. Im Zweifel tragen Sie die Adresse ein, unter der Ihre Website läuft; die meisten Stellen fügen die andere kostenlos als SAN hinzu.
Schlüssel zu kurz
Ein RSA-Schlüssel braucht mindestens 2048 Bit. Erstellen Sie die CSR mit neuem Schlüssel neu: in OpenSSL -newkey rsa:2048, in cPanel oder Plesk Schlüsselgröße 2048. Auch der private Schlüssel ändert sich; nutzen Sie den alten nicht weiter.
Domain mit Umlauten
Zertifikate und CSRs brauchen die ASCII-Form der Domain. Tragen Sie statt der Umlaut-Domain die Punycode-Form ein (beginnt mit xn--); die genaue Schreibweise liefert der Punycode Konverter. Umlaute im Firmennamen dürfen als UTF-8 bleiben.
Ländercode abgelehnt
Ins Länderfeld (C) gehört der zweistellige ISO-Code, nicht der Name: DE, AT, CH. Bundesland und Ort schreiben Sie ungekürzt aus.
Privater Schlüssel verloren
Ein Zertifikat funktioniert nur mit dem privaten Schlüssel, der mit der CSR erzeugt wurde, und ein verlorener Schlüssel lässt sich nicht wiederherstellen. Erstellen Sie CSR und Schlüssel neu und lassen Sie das Zertifikat neu ausstellen (Reissue); das ist meist kostenlos.
Wildcard deckt die Hauptdomain nicht ab
*.beispiel.de deckt Subdomains ab, aber nicht beispiel.de selbst. Die meisten Stellen ergänzen die Hauptdomain kostenlos; sonst tragen Sie sie als SAN in die CSR ein.
Was ist eine CSR?
Eine CSR (Certificate Signing Request) ist eine signierte Anfrage an eine Zertifizierungsstelle für ein SSL-Zertifikat. Sie enthält Domains, Firmenangaben und den öffentlichen Schlüssel und wird auf Ihrem Server zusammen mit dem privaten Schlüssel erzeugt.
Eine CSR enthält keinen privaten Schlüssel und kann gefahrlos geteilt werden. Der private Schlüssel bleibt auf dem Server, der die CSR erzeugt hat, und das Zertifikat funktioniert nur mit ihm – installieren Sie es daher auf demselben Server.
- Privater SchlüsselBleibt auf Ihrem Server
- CSRNamen, Angaben, öffentlicher Schlüssel
- SSL-ZertifikatDie Stelle prüft und signiert
Was die Felder einer CSR bedeuten
CN=www.example.comCommon Name (CN): Der Hauptname des Zertifikats: die Adresse Ihrer Website. Für Wildcards*.beispiel.de.SAN: example.com, www.example.comWeitere Namen (SAN): Alle Namen, die das Zertifikat abdeckt. Browser prüfen Namen hier, nicht im CN.O=Example LtdOrganisation (O): Ihr offizieller Firmenname. Für DV unnötig; bei OV und EV muss er exakt Ihren Unterlagen entsprechen.C=TRLand (C): Zweistelliger ISO-Ländercode, z. B. DE.RSA 2048Schlüssel: Typ und Länge des öffentlichen Schlüssels. Für RSA mindestens 2048 Bit; ECDSA P-256 ist ebenfalls möglich.
Das Ergebnis zeigt diese Felder so, wie sie ins Zertifikat kommen, prüft die Signatur und nennt den passenden SSL-Typ.
CSR mit OpenSSL erstellen und prüfen
Mit Terminalzugriff auf Ihren Server erstellen und prüfen Sie die CSR mit diesen Befehlen. In cPanel und Plesk geht das über den CSR-Bildschirm im Bereich SSL/TLS.
| Wofür | Befehl |
|---|---|
| RSA-2048-Schlüssel und CSR erstellen | openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr |
| Weitere Namen (SAN) hinzufügen | openssl req -new -key domain.key -out domain.csr -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com" |
| Inhalt der CSR lesen | openssl req -in domain.csr -noout -text |
| Hash des öffentlichen Schlüssels der CSR | openssl req -in domain.csr -noout -pubkey | openssl sha256 |
| Hash zum privaten Schlüssel (gleiche Hashes = passendes Paar) | openssl pkey -in domain.key -pubout | openssl sha256 |
Die Datei domain.key ist Ihr privater Schlüssel: Geben Sie sie niemals weiter und bewahren Sie sie bis zur Installation des Zertifikats auf.
Häufige Fragen
Die häufigsten Fragen zu CSR, privatem Schlüssel und SSL-Bestellung.
- In cPanel über SSL/TLS → „Zertifikatsignierungsanforderungen (CSR)“, in Plesk über SSL/TLS-Zertifikate, in IIS über „Zertifikatanforderung erstellen“. Mit Terminalzugriff genügt
openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr. - Nein, eine CSR enthält nur den öffentlichen Schlüssel; Mailen oder Einfügen hier ist sicher. Den privaten Schlüssel (
.key) fügen Sie nirgends ein. - Vergleichen Sie die Hashes der öffentlichen Schlüssel:
openssl req -in domain.csr -noout -pubkey | openssl sha256undopenssl pkey -in domain.key -pubout | openssl sha256. Sind sie gleich, passen CSR und Schlüssel zusammen. - Tragen Sie die Adresse Ihrer Website ein. Die meisten Stellen fügen einem Zertifikat für
www.beispiel.dekostenlosbeispiel.dehinzu (oder umgekehrt); die SAN-Liste im Ergebnis zeigt, was abgedeckt ist. - Eine CSR läuft nicht ab, aus Sicherheitsgründen empfiehlt sich aber bei jeder Verlängerung eine neue CSR mit neuem Schlüssel. Bewahren Sie den privaten Schlüssel bis zur Installation auf.
- Nein. Die CSR wird in Ihrem Browser dekodiert und ihre Signatur dort geprüft; nichts geht an die Server von Atak Domain.
CSR fertig? Wählen Sie Ihr Zertifikat
Single-Domain-, Wildcard- und Multi-Domain-SSL-Zertifikate gibt es ab $9,99 im Jahr; bei der Installation helfen unsere Experten.