CSR-generator

Wat wordt gegenereerd

Twee PEM-bestanden:

example.csr (openbaar, naar de CA gestuurd):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key (privé, blijft op uw server):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

De CSR wordt met de private key ondertekend als bewijs van bezit. Wanneer de CA het certificaat uitgeeft, komt de publieke sleutel van het certificaat overeen met de sleutel in de CSR, die weer overeenkomt met de private key op uw server.

Deze generator maakt een CSR met de door u ingevoerde common name en zonder Subject Alternative Name (SAN)-extensies. Moet uw certificaat meerdere hostnamen afdekken, gebruik dan de hulpmiddelen van uw CA: ACME-clients zoals Let’s Encrypt bouwen de aanvraag voor u, en de meeste webformulieren van CA’s voegen de extra namen toe bij het indienen.

Veldeisen per certificaattype

Let’s Encrypt en de meeste geautomatiseerde DV-uitgevers kijken alleen naar de common name. Zakelijke CA’s die OV/EV-certificaten uitgeven, verifiëren de organisatiegegevens tegen bedrijfsregisters.

Sleutelgroottes

Voor een publieke webserver is RSA 2048 de veilige standaard. Kies 3072 of 4096 bits als u een grotere veiligheidsmarge wilt en langzamere sleutelgeneratie, langzamere handshakes en grotere certificaten accepteert.

Waar CSRs misgaan

• Het certificaat dekt de hostnaam niet: browsers tonen “NET::ERR_CERT_COMMON_NAME_INVALID” wanneer het certificaat de exacte naam die u bezocht niet afdekt. De common name moet overeenkomen met de volledige hostnaam, inclusief www als u die gebruikt. Omdat deze generator een aanvraag met één CN maakt, gebruikt u de hulpmiddelen van uw CA wanneer u extra namen nodig hebt.
• Wildcard-limiet: een wildcard *.example.com komt alleen overeen met één subdomeinniveau. Hij komt niet overeen met api.v2.example.com.
• Apex en wildcard zijn verschillende namen: *.example.com dekt het kale example.com niet af; u hebt beide als afzonderlijke namen in het certificaat nodig.
• IP-adres: de meeste publieke CA’s geven geen certificaten meer uit voor IP-adressen; u moet een hostnaam gebruiken.

Na het genereren

1. Bewaar de private key veilig. Rechten 0600, eigendom van de webservergebruiker.
2. Plak de CSR in het webformulier of de CLI-tool van uw CA (Let’s Encrypt via ACME regelt dit meestal automatisch).
3. Ontvang het ondertekende certificaat (en de tussenliggende keten).
4. Installeer zowel de certificaatketen als de private key op uw server.
5. Controleer met een SSL-checker.