CSR Nedir?
Sertifika imzalama talebi (CSR), bir SSL/TLS sertifikası almak için sertifika otoritesine (CA) gönderdiğiniz dosyadır. CSR; açık anahtarınızı, sertifikanın kapsaması gereken alan adlarını ve isteğe bağlı şirket bilgilerini içerir. Tüm bunlar, anahtara sahip olduğunuzu kanıtlamak için eşleşen özel anahtarla imzalanır.
CSR oluşturduğunuzda her zaman iki dosya ortaya çıkar: CA'nın sipariş formuna yapıştırdığınız CSR ve sunucunuzda kalan özel anahtar. CA açık anahtarınızı imzalar ve size yalnızca o özel anahtarla birlikte çalışan bir sertifika gönderir.
CSR Nasıl Oluşturulur?
Ana alan adını ortak ad olarak yazın; örneğin example.com veya wildcard sertifika için *.example.com.
Sertifikanın kapsaması gereken ek alan adlarını veya alt alan adlarını listeleyin. www sürümü, işaretini kaldırmadığınız sürece otomatik olarak eklenir.
RSA 2048 her yerde çalışır. ECDSA P-256 daha küçük ve daha hızlıdır; tüm modern tarayıcılar ve sunucular tarafından desteklenir.
İki dosyayı da indirin. CSR'yi CA'nızın sipariş formuna yapıştırın ve .key dosyasını güvenli bir yerde saklayın: sertifikayı kurmak için ona ihtiyacınız olacak.
Advertisement
CSR Alanlarına Ne Yazılmalı?
Ana alan adı, ziyaretçilerin yazdığı haliyle: example.com veya *.example.com. https:// ve yol eklemeyin.
Sertifikanın kapsaması gereken her ad. Tarayıcılar ortak adı değil yalnızca SAN'ları kontrol eder; bu yüzden oluşturucu CN'yi her zaman buraya da ekler.
Şirketinizin yasal adı, şehir, il ve ülke. Alan adı doğrulamalı (DV) sertifikalar bu bilgileri yok sayar; kuruluş doğrulamalı (OV) ve genişletilmiş doğrulamalı (EV) sertifikalarda ise kontrol edilir.
US, GB veya DE gibi iki harfli ISO kodu. Ülkenin tam adını yazmak, CSR'yi çoğu CA'da geçersiz kılar.
Herkese açık CA'lar Eylül 2022'de sertifikalara OU eklemeyi bıraktı; bu yüzden çoğu bu alanı reddeder veya yok sayar.
Nadiren gerekir. Bazı CA'lar bu alanı sertifikadan tamamen çıkarır.
RSA mı ECDSA mı: Hangi Anahtarı Kullanmalısınız?
Güvenli seçim: eskileri de dahil tüm CA'lar, sunucular ve istemciler tarafından kabul edilir.
Daha büyük anahtarlar her TLS el sıkışmasını yavaşlatır. Yalnızca politikanız gerektiriyorsa kullanın.
RSA 3072'ye benzer güç, çok daha küçük bir anahtar ve daha hızlı el sıkışmaları. Tüm modern tarayıcılar ve sunucular tarafından desteklenir.
Daha katı politikalar için. P-256'dan biraz daha yavaştır, ancak yine de RSA 4096'dan çok daha hafiftir.
Advertisement
Özel Anahtarınızı Güvende Tutun
Özel anahtarı asla kimseye göndermeyin, sertifika otoritenize bile. Bir CA'nın ihtiyaç duyduğu tek şey CSR'dir.
Sayfadan ayrılmadan önce kaydedin. Anahtar yalnızca tarayıcınızda bulunur ve biz onu kurtaramayız. Anahtar olmadan sertifika işe yaramaz.
Sunucuda sıkı izinlerle saklayın; örneğin
chmod 600 example.com.keyile yalnızca web sunucusunun okuyabileceği şekilde.Her talep için yeni bir anahtar kullanın. Bir anahtar sızmış olabilirse yeni bir CSR oluşturun ve sertifikayı yeniden düzenletin.
Sertifika süreleri kısalıyor. Herkese açık TLS sertifikaları Mart 2026'dan bu yana en fazla 200 gün geçerli ve bu sınır kısalmaya devam ediyor; bu yüzden yenilemeyi ACME ile (örneğin Certbot) otomatikleştirmek zaman kazandırır.
CSR için Kullanışlı OpenSSL Komutları
Sertifika gelmeden önce ve geldikten sonra dosyalarınızı komut satırında kontrol edin:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Diğer SSL ve Sertifika Araçları
Sertifikanız verildikten sonra bu ücretsiz araçlarla kontrol edin:
Bir CSR'yi veya sertifikayı çözün ve eşleşip eşleşmediklerini kontrol edin.
Herhangi bir web sitesinde kurulu sertifikayı test edin.
HSTS ve diğer güvenlik başlıklarını kontrol edin.
E-posta imzalama için DKIM anahtarlarını tarayıcınızda oluşturun.