CSR Là Gì?
Yêu cầu ký chứng chỉ (CSR, Certificate Signing Request) là tệp bạn gửi cho tổ chức cấp chứng chỉ (CA) để nhận chứng chỉ SSL/TLS. Tệp này chứa khóa công khai của bạn, các tên miền mà chứng chỉ cần bao phủ và thông tin công ty (không bắt buộc), tất cả được ký bằng khóa riêng tư tương ứng để chứng minh bạn đang giữ khóa đó.
Mỗi lần tạo CSR luôn sinh ra hai tệp: CSR, mà bạn dán vào biểu mẫu đặt mua của CA, và khóa riêng tư, được giữ lại trên máy chủ của bạn. CA ký khóa công khai của bạn và gửi lại một chứng chỉ chỉ hoạt động cùng với khóa đó.
Cách Tạo CSR
Nhập tên miền chính làm common name, ví dụ example.com, hoặc *.example.com cho chứng chỉ wildcard.
Liệt kê các tên miền hoặc tên miền con bổ sung mà chứng chỉ cần bao phủ. Phiên bản www được tự động thêm, trừ khi bạn bỏ chọn.
RSA 2048 hoạt động ở mọi nơi. ECDSA P-256 nhỏ hơn, nhanh hơn và được mọi trình duyệt cũng như máy chủ hiện đại hỗ trợ.
Tải xuống cả hai tệp. Dán CSR vào biểu mẫu đặt mua của CA và cất giữ tệp .key cẩn thận: bạn sẽ cần nó để cài đặt chứng chỉ.
Advertisement
Điền Gì Vào Từng Trường Của CSR
Tên miền chính, đúng như khách truy cập gõ: example.com hoặc *.example.com. Không có https:// và không có đường dẫn.
Mọi tên mà chứng chỉ phải bao phủ. Trình duyệt chỉ kiểm tra SAN, không kiểm tra common name, nên công cụ luôn đưa cả CN vào đây.
Tên pháp lý của công ty, thành phố, tỉnh/bang và quốc gia. Chứng chỉ xác thực tên miền (DV) bỏ qua các trường này; chứng chỉ xác thực tổ chức (OV) và xác thực mở rộng (EV) sẽ kiểm tra chúng.
Mã ISO gồm hai chữ cái, ví dụ US, GB hoặc DE. Ghi tên quốc gia đầy đủ sẽ khiến hầu hết các CA coi CSR là không hợp lệ.
Các CA công khai đã ngừng đưa OU vào chứng chỉ từ tháng 9 năm 2022, nên hầu hết sẽ từ chối hoặc bỏ qua trường này.
Hiếm khi cần. Một số CA loại bỏ hoàn toàn trường này khỏi chứng chỉ.
RSA Hay ECDSA: Nên Dùng Loại Khóa Nào?
Lựa chọn an toàn: được mọi CA, máy chủ và client chấp nhận, kể cả những hệ thống cũ.
Khóa lớn hơn làm chậm mọi lần bắt tay TLS. Chỉ dùng khi chính sách của bạn yêu cầu.
Độ mạnh tương đương RSA 3072 nhưng khóa nhỏ hơn nhiều và bắt tay nhanh hơn. Được mọi trình duyệt và máy chủ hiện đại hỗ trợ.
Dành cho các chính sách nghiêm ngặt hơn. Chậm hơn P-256 một chút, nhưng vẫn nhẹ hơn RSA 4096 rất nhiều.
Advertisement
Giữ Khóa Riêng Tư An Toàn
Không bao giờ gửi khóa riêng tư cho bất kỳ ai, kể cả tổ chức cấp chứng chỉ. CA chỉ cần CSR.
Lưu khóa trước khi rời trang. Khóa chỉ tồn tại trong trình duyệt của bạn và chúng tôi không thể khôi phục. Không có khóa, chứng chỉ sẽ vô dụng.
Lưu trữ khóa với quyền truy cập chặt chẽ trên máy chủ, ví dụ
chmod 600 example.com.key, để chỉ web server đọc được.Dùng khóa mới cho mỗi yêu cầu. Nếu khóa có thể đã bị lộ, hãy tạo CSR mới và yêu cầu cấp lại chứng chỉ.
Thời hạn chứng chỉ ngày càng ngắn. Từ tháng 3 năm 2026, chứng chỉ TLS công khai chỉ có hiệu lực tối đa 200 ngày, và giới hạn này còn tiếp tục giảm, nên tự động gia hạn bằng ACME (ví dụ Certbot) sẽ giúp bạn tiết kiệm thời gian.
Các Lệnh OpenSSL Hữu Ích Cho CSR
Kiểm tra các tệp của bạn bằng dòng lệnh trước và sau khi nhận được chứng chỉ:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Thêm Công Cụ SSL và Chứng Chỉ
Sau khi chứng chỉ được cấp, hãy kiểm tra bằng các công cụ miễn phí sau: