CSR декодер
Проверьте CSR до заказа SSL
Вставьте CSR — и увидите домены, данные организации и ключ, которые попадут в сертификат, а также ошибки, из-за которых удостоверяющий центр откажет, и подходящий тип SSL. CSR расшифровывается в браузере и никуда не отправляется.
CSR отклонили? Вот почему
Если удостоверяющий центр отклонил CSR, причина обычно в одном поле: неверный домен, короткий ключ, код страны не из двух букв или специальный символ. Выберите свою ситуацию.
«Домен не совпадает с CSR»
Домен в заказе должен точно совпадать с общим именем (CN) в CSR; www.example.com и example.com — разные имена. Если сомневаетесь, укажите в CN адрес, по которому открывается сайт; большинство центров бесплатно добавят второе имя как SAN.
Слишком короткий ключ
RSA-ключ должен быть не короче 2048 бит. Создайте CSR с новым ключом: в OpenSSL — -newkey rsa:2048, в cPanel и Plesk выберите размер 2048. Закрытый ключ тоже сменится; старый не используйте.
Кириллический домен
Сертификатам и CSR нужна ASCII-форма домена. Вместо кириллического имени укажите Punycode (начинается с xn--); точное написание даст конвертер Punycode. Кириллица в названии организации допустима в UTF-8.
Код страны не принят
В поле страны (C) указывается двухбуквенный код ISO, а не название: RU, KZ, BY. Регион и город пишите полностью, без сокращений.
Потерян закрытый ключ
Сертификат работает только с закрытым ключом, созданным вместе с CSR, а потерянный ключ не восстановить. Создайте новые CSR и ключ и перевыпустите сертификат (reissue); у большинства сертификатов это бесплатно.
Wildcard не покрывает основной домен
*.example.com покрывает поддомены, но не сам example.com. Большинство центров бесплатно добавят основное имя; иначе укажите его в CSR как SAN.
Что такое CSR?
CSR (Certificate Signing Request) — подписанный запрос в удостоверяющий центр на выпуск SSL сертификата. В нём указаны доменные имена, данные организации и открытый ключ; создаётся он на вашем сервере вместе с закрытым ключом.
В CSR нет закрытого ключа, поэтому им можно делиться. Закрытый ключ остаётся на сервере, где создан CSR, и сертификат работает только с ним — устанавливайте сертификат на тот же сервер.
- Закрытый ключОстаётся на вашем сервере
- CSRИмена, данные и открытый ключ
- SSL сертификатЦентр проверяет и подписывает
Что означают поля CSR
CN=www.example.comОбщее имя (CN): Главное имя сертификата — адрес сайта. Для wildcard —*.example.com.SAN: example.com, www.example.comДополнительные имена (SAN): Все имена, которые покроет сертификат. Браузеры проверяют имя по этому списку, а не по CN.O=Example LtdОрганизация (O): Юридическое название организации. Для DV не нужно; для OV и EV должно точно совпадать с документами.C=TRСтрана (C): Двухбуквенный код страны ISO, например RU.RSA 2048Ключ: Тип и длина открытого ключа. Для RSA не меньше 2048 бит; ECDSA P-256 тоже подходит.
Результат показывает поля так, как они попадут в сертификат, проверяет подпись и подсказывает подходящий тип SSL.
Создание и проверка CSR в OpenSSL
Если у вас есть доступ к терминалу сервера, создайте и проверьте CSR этими командами. В cPanel и Plesk то же делается на экране CSR в разделе SSL/TLS.
| Для чего | Команда |
|---|---|
| Создать ключ RSA 2048 и CSR | openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr |
| Добавить дополнительные имена (SAN) | openssl req -new -key domain.key -out domain.csr -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com" |
| Прочитать содержимое CSR | openssl req -in domain.csr -noout -text |
| Хеш открытого ключа CSR | openssl req -in domain.csr -noout -pubkey | openssl sha256 |
| Хеш открытой части закрытого ключа (совпадение хешей = пара совпадает) | openssl pkey -in domain.key -pubout | openssl sha256 |
Файл domain.key — ваш закрытый ключ: никому его не передавайте и храните до установки сертификата.
Частые вопросы
Самые частые вопросы о CSR, закрытом ключе и заказе SSL.
- В cPanel — SSL/TLS → «Запросы на подпись сертификата (CSR)», в Plesk — экран «SSL/TLS-сертификаты», в IIS — «Создать запрос сертификата». С доступом к терминалу достаточно
openssl req -new -newkey rsa:2048 -nodes -keyout domain.key -out domain.csr. - Нет, в CSR только открытый ключ — его можно отправить по почте или вставить сюда. Закрытый ключ (
.key) никуда не вставляйте. - Сравните хеши открытых ключей:
openssl req -in domain.csr -noout -pubkey | openssl sha256иopenssl pkey -in domain.key -pubout | openssl sha256. Если вывод совпадает, CSR и ключ — пара. - Укажите адрес, по которому открывается сайт. Большинство центров бесплатно добавят
example.comк сертификату дляwww.example.com(или наоборот); список SAN в результате покажет, какие имена покрыты. - У CSR нет срока действия, но при каждом продлении рекомендуется создавать новые CSR и закрытый ключ. Храните закрытый ключ, созданный с CSR, до установки сертификата.
- Нет. CSR расшифровывается и его подпись проверяется в вашем браузере; на серверы Atak Domain ничего не отправляется.
CSR готов? Выберите сертификат
Однодоменные, wildcard и мультидоменные SSL сертификаты — от $9,99 в год; с установкой помогут наши специалисты.