Czym Jest CSR?
Żądanie podpisania certyfikatu (CSR, certificate signing request) to plik, który wysyłasz do urzędu certyfikacji (CA), aby otrzymać certyfikat SSL/TLS. Zawiera Twój klucz publiczny, nazwy domen, które ma obejmować certyfikat, oraz opcjonalne dane firmy, a całość jest podpisana odpowiadającym mu kluczem prywatnym, co dowodzi, że go posiadasz.
Wygenerowanie CSR zawsze tworzy dwa pliki: CSR, który wklejasz do formularza zamówienia w urzędzie certyfikacji, oraz klucz prywatny, który zostaje na Twoim serwerze. CA podpisuje Twój klucz publiczny i odsyła certyfikat, który działa wyłącznie razem z tym kluczem.
Jak Wygenerować CSR
Wpisz główną domenę jako nazwę pospolitą, np. example.com, albo *.example.com dla certyfikatu wildcard.
Wymień wszystkie dodatkowe domeny lub subdomeny, które ma obejmować certyfikat. Wersja z www zostanie dodana automatycznie, chyba że odznaczysz tę opcję.
RSA 2048 działa wszędzie. ECDSA P-256 jest mniejszy i szybszy, a obsługują go wszystkie nowoczesne przeglądarki i serwery.
Pobierz oba pliki. Wklej CSR do formularza zamówienia w swoim urzędzie certyfikacji i przechowuj plik .key w bezpiecznym miejscu: będzie potrzebny do instalacji certyfikatu.
Advertisement
Co Wpisać w Poszczególne Pola CSR
Główna domena, dokładnie tak, jak wpisują ją odwiedzający: example.com lub *.example.com. Bez https:// i bez ścieżki.
Każda nazwa, którą musi obejmować certyfikat. Przeglądarki sprawdzają tylko SAN, a nie nazwę pospolitą, dlatego generator zawsze umieszcza tu również CN.
Pełna nazwa prawna firmy, miejscowość, województwo lub stan oraz kraj. Certyfikaty z walidacją domeny (DV) je ignorują; certyfikaty z walidacją organizacji (OV) i z rozszerzoną walidacją (EV) je weryfikują.
Dwuliterowy kod ISO, np. US, GB lub DE. Pełna nazwa kraju sprawia, że większość urzędów certyfikacji uzna CSR za nieprawidłowy.
Publiczne urzędy certyfikacji przestały umieszczać OU w certyfikatach we wrześniu 2022 roku, więc większość z nich odrzuca to pole lub je ignoruje.
Rzadko potrzebny. Niektóre urzędy certyfikacji całkowicie usuwają go z certyfikatu.
RSA czy ECDSA: Jaki Klucz Wybrać?
Bezpieczny wybór: akceptowany przez każdy urząd certyfikacji, serwer i klienta, także starsze.
Większe klucze spowalniają każde uzgadnianie połączenia TLS (handshake). Używaj ich tylko wtedy, gdy wymaga tego Twoja polityka bezpieczeństwa.
Siła zbliżona do RSA 3072 przy znacznie mniejszym kluczu i szybszym uzgadnianiu połączenia. Obsługiwany przez wszystkie nowoczesne przeglądarki i serwery.
Dla bardziej rygorystycznych polityk. Nieco wolniejszy niż P-256, ale wciąż znacznie lżejszy niż RSA 4096.
Advertisement
Chroń Swój Klucz Prywatny
Nigdy nikomu nie wysyłaj klucza prywatnego, także swojemu urzędowi certyfikacji. CA potrzebuje wyłącznie CSR.
Zapisz go, zanim opuścisz stronę. Istnieje tylko w Twojej przeglądarce i nie możemy go odzyskać. Bez niego certyfikat jest bezużyteczny.
Przechowuj go z restrykcyjnymi uprawnieniami na serwerze, np.
chmod 600 example.com.key, tak aby mógł go odczytać tylko serwer WWW.Używaj nowego klucza przy każdym żądaniu. Jeśli klucz mógł wyciec, wygeneruj nowy CSR i poproś o ponowne wystawienie certyfikatu.
Certyfikaty są coraz krótsze. Od marca 2026 roku publiczne certyfikaty TLS mogą być ważne maksymalnie 200 dni, a limit wciąż się zmniejsza, więc automatyzacja odnawiania przez ACME (np. Certbot) oszczędza czas.
Przydatne Polecenia OpenSSL dla CSR
Sprawdź swoje pliki w wierszu poleceń przed otrzymaniem certyfikatu i po jego otrzymaniu:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Więcej Narzędzi SSL i Certyfikatów
Gdy certyfikat zostanie wystawiony, sprawdź go za pomocą tych darmowych narzędzi: