Что такое CSR?
Запрос на подпись сертификата (CSR, Certificate Signing Request) — это файл, который вы отправляете в центр сертификации (CA), чтобы получить SSL/TLS сертификат. Он содержит ваш открытый ключ, доменные имена, которые должен покрывать сертификат, и при необходимости данные компании. Всё это подписано соответствующим закрытым ключом, чтобы доказать, что этот ключ у вас есть.
При создании CSR всегда получаются два файла: сам CSR, который вы вставляете в форму заказа CA, и закрытый ключ, который остаётся на вашем сервере. CA подписывает ваш открытый ключ и возвращает сертификат, который работает только вместе с этим ключом.
Как сгенерировать CSR
Укажите основной домен как общее имя, например example.com, или *.example.com для wildcard сертификата.
Перечислите дополнительные домены или поддомены, которые должен покрывать сертификат. Версия с www добавляется автоматически, если вы не снимете галочку.
RSA 2048 работает везде. ECDSA P-256 короче и быстрее, и его поддерживают все современные браузеры и серверы.
Скачайте оба файла. Вставьте CSR в форму заказа вашего CA и надёжно сохраните файл .key: он понадобится для установки сертификата.
Advertisement
Что указать в каждом поле CSR
Основной домен в том виде, в каком его вводят посетители: example.com или *.example.com. Без https:// и без пути.
Все имена, которые должен покрывать сертификат. Браузеры проверяют только SAN, а не общее имя, поэтому генератор всегда добавляет сюда и CN.
Юридическое название компании, город, регион и страна. Сертификаты с проверкой домена (DV) их игнорируют, а сертификаты с проверкой организации (OV) и расширенной проверкой (EV) их проверяют.
Двухбуквенный код ISO, например US, GB или DE. Если указать полное название страны, большинство CA сочтёт CSR недействительным.
С сентября 2022 года публичные CA больше не включают OU в сертификаты, поэтому большинство из них отклоняет или игнорирует это поле.
Нужен редко. Некоторые CA вообще не включают его в сертификат.
RSA или ECDSA: какой ключ выбрать?
Надёжный выбор: его принимают все CA, серверы и клиенты, включая старые.
Более длинные ключи замедляют каждое TLS-рукопожатие. Используйте их, только если этого требует ваша политика безопасности.
Стойкость примерно как у RSA 3072, но ключ гораздо короче, а рукопожатия быстрее. Поддерживается всеми современными браузерами и серверами.
Для более строгих политик. Немного медленнее P-256, но всё равно намного легче RSA 4096.
Advertisement
Как защитить закрытый ключ
Никогда никому не отправляйте закрытый ключ, в том числе центру сертификации. CA всегда нужен только CSR.
Сохраните ключ, прежде чем покинуть страницу. Он существует только в вашем браузере, и мы не можем его восстановить. Без него сертификат бесполезен.
Ограничьте права доступа к нему на сервере, например
chmod 600 example.com.key, чтобы его мог читать только веб-сервер.Используйте новый ключ для каждого запроса. Если ключ мог утечь, создайте новый CSR и перевыпустите сертификат.
Сроки действия сертификатов сокращаются. С марта 2026 года публичные TLS сертификаты действуют не более 200 дней, и этот предел будет сокращаться дальше, поэтому автоматическое продление по ACME (например, с Certbot) экономит время.
Полезные команды OpenSSL для CSR
Проверьте файлы в командной строке до и после получения сертификата:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Другие инструменты для SSL и сертификатов
Когда сертификат будет выпущен, проверьте его с помощью этих бесплатных инструментов: