CSR デコード・SSL証明書デコード：CSRと証明書の内容を確認

CSRとは？

証明書署名要求（CSR）は、SSL/TLS証明書を取得するために認証局（CA）へ送るファイルです。CSRはサーバー上で秘密鍵と一緒に作成します。CSRには、対応する公開鍵、証明を受けたい身元情報（サブジェクト：コモンネーム、組織名、所在地）、そしてサブジェクト代替名（SAN）に記載するドメイン名が含まれており、秘密鍵を保有していることを示すためにその秘密鍵で署名されています。

秘密鍵はサーバーの外に出すものではなく、どこにも貼り付けてはいけません。一方、CSR自体には公開情報しか含まれていないため、デコードしても安全です。このCSR デコードツールは、CSRをブラウザ内で直接読み取ります。

CSRをデコードして内容を確認する方法

CSRを提出する前に確認すべきこと

CSRに誤りがあると、証明書を再発行しなければなりません。まず次の点を確認しましょう。

• すべてのドメイン名がSANに含まれていること。 ブラウザはChrome 58（2017年）以降コモンネームを無視しているため、SANに含まれていない名前は信頼されません。多くのCAはCNを自動的に追加しますが、念のため確認してください。

• 鍵の強度が十分であること。 CAは2048ビット未満のRSA鍵を受け付けません。RSA 2048〜4096ビットとECDSA P-256/P-384が標準的な選択肢です。

• 署名にSHA-256以上を使っていること。 SHA-1署名はもう受け付けられません。

• 組織情報が登録内容と一致していること（CAが審査するOV・EV証明書の場合）。部署名（OU）は空欄にしてください。CAは2022年に公開TLS証明書へのOUの記載をやめています。

• 新しい鍵であること。 更新のたびに新しい秘密鍵とCSRを生成しておけば、古い鍵が万一漏えいしても被害を抑えられます。

SSL証明書をデコードする方法

このツールはSSL証明書のデコードにもそのまま使えます。証明書（-----BEGIN CERTIFICATE-----）または証明書チェーン全体を貼り付けると、1枚ずつデコードされます。有効かどうかと残り日数、サブジェクトと発行者、SAN、鍵、キー使用法、シリアル番号、SHA-256フィンガープリントが表示され、CA証明書と自己署名証明書にはラベルが付きます。

公開中のWebサイトが実際に配信している証明書を、チェーンや有効期限も含めて確認するにはSSLチェッカーを使ってください。サイトにそもそもアクセスできるかを確かめるには、サイトダウンチェッカーをお試しください。

証明書はCSRと一致していますか？

証明書は、そのCSRの作成元となった秘密鍵と組み合わせなければ機能しません。更新後にサーバーでエラーが起きる原因としてよくあるのが、違う鍵で証明書をインストールしてしまうケースです。上の入力欄にCSRと証明書を一緒に貼り付けると、デコーダーが両者の公開鍵を比較します。一致すれば、その証明書はそのCSRの鍵に対して発行されたものです。

サーバー上では、OpenSSLで証明書、CSR、秘密鍵を比較できます。以下の3つのコマンドがすべて同じハッシュを出力すれば一致しています。

OpenSSLでCSRを作成・確認する

多くの人が必要とするコマンドです（OpenSSL 1.1.1以降）。

CSRと証明書の各項目の意味

SSL・セキュリティ関連ツール

HTTPSの設定全体もあわせてチェックしましょう。