Apa Itu CSR?
Certificate signing request (CSR) adalah file yang Anda kirim ke certificate authority (CA) untuk mendapatkan sertifikat SSL/TLS. File ini berisi public key Anda, nama-nama domain yang harus dicakup sertifikat, dan detail perusahaan (opsional), semuanya ditandatangani dengan private key pasangannya untuk membuktikan bahwa Anda memegang kunci tersebut.
Membuat CSR selalu menghasilkan dua file: CSR, yang Anda tempel ke formulir pemesanan CA, dan private key, yang tetap tersimpan di server Anda. CA menandatangani public key Anda lalu mengirimkan sertifikat yang hanya berfungsi bersama kunci tersebut.
Cara Membuat CSR
Ketik domain utama sebagai common name, misalnya example.com, atau *.example.com untuk sertifikat wildcard.
Cantumkan domain atau subdomain tambahan yang harus dicakup sertifikat. Versi www ditambahkan otomatis kecuali Anda menghapus centangnya.
RSA 2048 berfungsi di mana saja. ECDSA P-256 lebih kecil dan lebih cepat, serta didukung oleh semua browser dan server modern.
Unduh kedua file. Tempel CSR ke formulir pemesanan CA Anda dan simpan file .key dengan aman: Anda akan membutuhkannya untuk memasang sertifikat.
Advertisement
Apa yang Diisi di Setiap Kolom CSR
Domain utama, persis seperti yang diketik pengunjung: example.com atau *.example.com. Tanpa https:// dan tanpa path.
Setiap nama yang harus dicakup sertifikat. Browser hanya memeriksa SAN, bukan common name, sehingga generator ini selalu ikut memasukkan CN di sini.
Nama resmi perusahaan, kota, provinsi, dan negara Anda. Sertifikat domain-validated (DV) mengabaikannya; sertifikat organization-validated dan extended-validated memeriksanya.
Kode ISO dua huruf, misalnya US, GB, atau DE. Nama negara yang ditulis lengkap membuat CSR tidak valid di sebagian besar CA.
CA publik berhenti mencantumkan OU di sertifikat sejak September 2022, sehingga sebagian besar CA menolak atau mengabaikannya.
Jarang diperlukan. Beberapa CA bahkan menghapusnya sepenuhnya dari sertifikat.
RSA atau ECDSA: Kunci Mana yang Sebaiknya Dipakai?
Pilihan aman: diterima oleh semua CA, server, dan klien, termasuk yang lama.
Kunci yang lebih besar memperlambat setiap TLS handshake. Gunakan hanya jika kebijakan Anda mewajibkannya.
Kekuatannya setara RSA 3072 dengan ukuran kunci jauh lebih kecil dan handshake lebih cepat. Didukung oleh semua browser dan server modern.
Untuk kebijakan yang lebih ketat. Sedikit lebih lambat daripada P-256, tetapi tetap jauh lebih ringan daripada RSA 4096.
Advertisement
Jaga Keamanan Private Key Anda
Jangan pernah mengirim private key kepada siapa pun, termasuk certificate authority Anda. CA hanya membutuhkan CSR.
Simpan sebelum Anda meninggalkan halaman. Kunci ini hanya ada di browser Anda, dan kami tidak dapat memulihkannya. Tanpa kunci ini, sertifikat tidak bisa dipakai.
Simpan dengan izin akses yang ketat di server, misalnya
chmod 600 example.com.key, sehingga hanya bisa dibaca oleh web server.Gunakan kunci baru untuk setiap permintaan. Jika sebuah kunci mungkin telah bocor, buat CSR baru dan minta sertifikat diterbitkan ulang.
Masa berlaku sertifikat makin pendek. Sejak Maret 2026, sertifikat TLS publik dibatasi maksimal 200 hari, dan batas ini terus dipersingkat, jadi mengotomatiskan perpanjangan dengan ACME (misalnya Certbot) menghemat waktu.
Perintah OpenSSL yang Berguna untuk CSR
Periksa file Anda melalui command line sebelum dan sesudah sertifikat diterima:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Alat SSL dan Sertifikat Lainnya
Setelah sertifikat Anda diterbitkan, periksa dengan alat gratis berikut: