Генератор CSR — запрос на сертификат и приватный ключ

Онлайн-инструмент для создания запроса на сертификат (CSR) вместе с приватным ключом. Пара ключей генерируется в браузере через WebCrypto API, там же собирается и подписывается запрос. Выберите RSA или ECDSA, перечислите все имена, которые должен покрывать сертификат, и отправьте полученный запрос в любой удостоверяющий центр — Let's Encrypt, DigiCert, Sectigo, GlobalSign или внутренний УЦ компании.

Как пользоваться

1
Перечислите домены

По одному на строку. Если обслуживаете и example.com, и www.example.com — впишите оба: для сертификата это разные имена.

2
Выберите тип ключа

RSA 2048, если сомневаетесь: он совместим со всем. ECDSA P-256 — если стек современный.

3
Заполните данные организации, если УЦ их просит

Сертификаты с проверкой домена их игнорируют. Для проверки организации и расширенной проверки они обязаны совпадать с юридической регистрацией.

4
Сохраните ключ, отправьте запрос

Скачайте оба файла. CSR — это то, что нужно удостоверяющему центру; ключ вы поставите на сервер рядом с выданным сертификатом.

🔥 Сейчас популярно
🗣️ Озвучка текста ✨ Улучшение видео ✂️ Обрезать аудио ✨ Улучшение аудио 🎭 Изменить голос 🎙️ Удаление вокала 🎬 Создать видео из аудио 🎬 Обрезка видео

Впишите домены и получите согласованные между собой запрос и ключ

По одному на строку или через запятую. Первый станет Common Name; все они попадут в расширение SAN — единственное место, куда смотрят браузеры.
Данные организации и пароль ключа (необязательно)
Зашифрованный ключ приходится разблокировать при каждом перезапуске, поэтому веб-серверы почти всегда настраивают с незашифрованным.
Не знаешь, что попробовать?
600+ инструментов — открой сюрприз
🎲 Сюрприз

Возможности

Каждый домен попадает в SAN
Самая частая ошибка самодельного запроса — Common Name без соответствующей записи SAN: браузеры игнорируют CN, и сертификат не покрывает ничего. Здесь CN всегда одновременно и запись SAN, а сделать запрос без SAN попросту нельзя.
RSA или ECDSA
RSA 2048/3072/4096 для максимальной совместимости либо ECDSA P-256/P-384 для меньших ключей и быстрых рукопожатий. Подпись — SHA-256, SHA-384 или SHA-512.
Проверяет то, что сам сделал
Готовый CSR разбирается обратно, его собственная подпись проверяется, а результат оценивается: внутренние имена, на которые публичный УЦ не выпустит, слишком широкие маски, подчёркивания в именах, неверный формат кода страны.
Шифрование ключа по желанию
Приватный ключ можно выгрузить зашифрованным AES-256 с PBKDF2-SHA256 в стандартной форме PKCS#8, которую читают и openssl, и nginx, и Apache.
Показывает команду openssl
К каждому запросу прилагается команда openssl, дающая тот же результат, — для скрипта развёртывания, для коллеги, которому нужно повторить это на сервере, или просто чтобы проверить, что сделала страница.
Работает в браузере
Генерация ключа, сборка и подпись запроса происходят во вкладке через WebCrypto API, на криптостойком источнике случайности вашего браузера.

Частые вопросы

Почему инструмент кладёт Common Name ещё и в список SAN?

Потому что браузеры не читают Common Name с 2017 года. Chrome убрал этот запасной путь в версии 58, остальные последовали, — и сертификат, где домен есть только в CN, не подходит ни к одному имени. Часть УЦ при выпуске молча копирует CN в SAN, многие просто отклоняют запрос. Указание в обоих местах снимает вопрос.

Нужно ли заполнять поля организации?

Только для сертификатов с проверкой организации (OV) и расширенной проверкой (EV): там УЦ сверяет их с юридической регистрацией и отклонит несовпадение. Для обычного сертификата с проверкой домена — а это всё, что выдаёт Let's Encrypt, — они игнорируются, и пустые поля не помешают.

Шифровать ли приватный ключ?

Для веб-сервера обычно нет. Зашифрованный ключ нужно разблокировать при каждом старте, поэтому сервер не поднимется сам после перезагрузки — именно поэтому nginx и Apache почти всегда настраивают на незашифрованный ключ, защищённый правами доступа к файлу. Шифруйте, если собираетесь переносить ключ между машинами или класть в общее хранилище.

Можно ли запросить wildcard?

Да, напишите *.example.com. Учтите, что маска покрывает ровно одну метку: *.example.com подходит к www.example.com, но не к самому example.com и не к a.b.example.com. Если нужен и голый домен — впишите его отдельной строкой. Публичные УЦ к тому же проверяют wildcard через DNS, а не через HTTP, поэтому для выпуска понадобится доступ к записям DNS.

Чем здесь отличаются RSA и ECDSA?

ECDSA P-256 даёт примерно стойкость RSA 3072 при значительно меньшем ключе — быстрее рукопожатие и меньше нагрузки на процессор. RSA 2048 поддерживают вообще все, включая старые устройства и часть платёжных терминалов. Контролируете клиентов — берите ECDSA; не знаете, кто подключится, — RSA.

💡 Хотите, чтобы мы улучшили этот инструмент лично для вас?

Мы можем! Просто отправьте нам сообщение с вашим пожеланием. Если хотите обсудить детали — оставьте свою почту, и мы с вами свяжемся. Можно анонимно.

Вам может пригодиться

🏷️ Генератор самоподписанных сертификатов 📜 Декодер SSL-сертификатов 🧰 Диагностика Let's Encrypt 🔄 Конвертер форматов сертификатов ⛓️ Починка цепочки сертификатов 🔐 Проверка SSL 🔗 Сверка ключа и сертификата

Как вы оцениваете этот инструмент?

Спасибо за вашу оценку!
Хотите рассказать подробнее? Оставьте комментарий!
Спасибо! Ваш комментарий появится после модерации.
Кому подходит этот инструмент
💻 Разработчики и IT-специалисты
Опубликовано Обновлено Автор: