أداة فك تشفير CSR

الصق طلب توقيع شهادة (Certificate Signing Request) أدناه، وسيوضح لك أداة فك تشفير CSR هذه ما يحتويه الملف بالفعل: الاسم الشائع (Common Name) وبقية الاسم المميز (Distinguished Name)، والمفتاح العام وحجمه، وخوارزمية التوقيع، وكل اسم بديل للموضوع (Subject Alternative Name) يشمله الطلب.

قراءة هذه الحقول تستغرق ثوانٍ معدودة. تجاوزها يكلفك إعادة إصدار الشهادة. فجهة إصدار الشهادات (Certificate Authority) ستوقع بكل سرور على CSR يحتوي على اسم نطاق مكتوب بشكل خاطئ، وستكتشف الأمر عندما تبدأ المتصفحات بإظهار أخطاء عدم تطابق الاسم على شهادة سبق أن دفعت ثمنها وقمت بتثبيتها.

فك تشفير ملف CSR الخاص بك

الصق النص الكامل لـ CSR الخاص بك في المربع، بما في ذلك سطري الرأس والتذييل:

يبدأ CSR الصالح بـ —–BEGIN CERTIFICATE REQUEST—– وينتهي بـ —–END CERTIFICATE REQUEST—–.

أما خوادم Windows التي تعمل بنظام IIS، فتكتب السطر الافتتاحي بصيغة —–BEGIN NEW CERTIFICATE REQUEST—–. كلا الصيغتين يعملان هنا. قد يصل الملف بامتداد .csr أو .pem أو .txt؛ فالنص الموجود بداخله هو المهم فقط. أداة فك تشفير CSR المجانية عبر الإنترنت هذه تقرأ صيغة PEM، وهي صيغة Base64 التي تنتجها معظم الخوادم ولوحات الاستضافة.

ألا تملك CSR بعد؟ أنشئ واحدًا باستخدام مولّد CSR، أو اتبع دليل إنشاء CSR الخاص بمنصتك.

ما تعرضه أداة فك تشفير CSR

يحمل كل CSR شيئين تحتاجهما جهة إصدار الشهادات: من تقول أنك عليه، والمفتاح العام الذي تريد توثيقه. جزء الهوية يُسمى الموضوع (Subject)، أو الاسم المميز (Distinguished Name)، وهو مجموعة من الحقول المُسمّاة بدلًا من سلسلة نصية طويلة واحدة. تقوم الأداة بتقسيم الاسم المميز إلى مكوناته وتعرض تفاصيل المفتاح جنبًا إلى جنب معه.

يغطي الجدول أدناه كل حقل تُعيده أداة فك تشفير CSR هذه، وكيف تبدو القيمة الصحيحة، وما الذي يحدث خطأً عندما لا تكون صحيحة.

يمكن أن يحمل CSR أيضًا سمات اختيارية وامتدادات مطلوبة تتجاهلها معظم أدوات فك التشفير. كلمة مرور التحدي (challenge password) هي سلسلة اختيارية استخدمتها بعض جهات الإصدار في الماضي لتفويض عملية الإبطال؛ اتركها فارغة إلا إذا طلبت جهة الإصدار الخاصة بك واحدة. الامتدادات المطلوبة مثل keyUsageوextendedKeyUsageوbasicConstraints تصف ما يجب أن يُسمح للشهادة بفعله، مع أن جهة الإصدار هي التي تحدد القيم النهائية.

كيف يعمل فك تشفير CSR

CSR هو طلب توثيق من نوع PKCS#10، وهي صيغة يحددها RFC 2986. تُوصف محتوياته بلغة ASN.1، ثم تُسلسَل إلى DER، وهي صيغة ثنائية، ثم تُرمّز بترميز Base64 وتُغلَّف بسطري رأس وتذييل PEM حتى ينجو الطلب من عمليات البريد الإلكتروني والنسخ واللصق دون تلف.

يعكس فك التشفير هذه السلسلة. تُزيل الأداة غلاف PEM، وتحوّل Base64 مرة أخرى إلى DER، وتحلل بنية ASN.1، وتُسمّي كل قيمة تجدها.

لا يحدث أي فك تشفير (decryption) في أي مرحلة، لأن ليس هناك شيء مشفّر في CSR أصلًا. يحمل CSR مفتاحك العام. أما المفتاح الخاص فيبقى على الخادم الذي أنشأه ولا يدخل إلى الطلب على الإطلاق. يمكن لأي شخص يعترض CSR أن يقرأه، وهذا بالضبط ما يجعل إرساله بالبريد الإلكتروني إلى جهة إصدار الشهادات أمرًا آمنًا.

ما يحمله CSR بالفعل هو توقيع. يُوقَّع الطلب بالمفتاح الخاص المطابق للمفتاح العام الموجود بداخله، وهذا يُثبت أنك تملك ذلك المفتاح. يُسمى هذا “إثبات الملكية” (Proof of Possession)، وهي الطريقة التي تعرف بها جهة الإصدار أن الشخص الذي يطلب الشهادة يتحكم فعليًا في المفتاح الذي يُراد توثيقه.

بعد أن تتحقق جهة الإصدار من الطلب، تُصدر شهادة X.509 تحتوي على مفتاحك العام وأيًا من حقول الموضوع التي تمكنت من التحقق منها.

ما الذي يجب فحصه قبل تقديم CSR الخاص بك

راجع الناتج المفكوك تشفيره على هذه القائمة قبل أن يقترب الطلب من أي جهة إصدار شهادات. استخدام أداة فك التشفير كفاحص CSR في هذه المرحلة يكلفك دقيقة واحدة. اكتشاف نفس الخطأ بعد الإصدار يكلفك إعادة إصدار وإعادة نشر.

1. الاسم الشائع يطابق اسم النطاق الكامل بدقة، سواء تضمّن أو استثنى www كما قصدت. example.com و www.example.com هما اسمان مختلفان.
2. كل نطاق تحتاجه موجود في قائمة SAN، وليس في الاسم الشائع فقط.
3. البلد مكوّن من حرفين بالضبط. تحقق منه في قائمة ISO 3166-1 alpha-2 إن كنت غير متأكد.
4. الولاية والموقع الجغرافي مكتوبان كاملين، وليسا مختصرين.
5. المؤسسة هي اسمك القانوني المسجل، إذا كنت تشتري شهادة OV أو EV. الشهادات الموثقة على مستوى النطاق (Domain Validated) تتجاهل هذا الحقل.
6. المفتاح بحجم 2048 بت RSA أو أكبر، أو 256 بت ECDSA أو أكبر.
7. خوارزمية التوقيع هي SHA-256 أو أقوى.
8. صيغة النطاق الشامل هي *.example.com، وتغطي مستوى واحدًا فقط. لا تغطي shop.eu.example.com.
9. لا تزال تملك المفتاح الخاص الذي أُنشئ منه هذا CSR. تأكد من ذلك باستخدام أداة مطابقة مفاتيح الشهادة (Certificate Key Matcher) قبل إجراء الطلب.

مشاكل CSR الشائعة التي تُظهرها أداة فك التشفير

عدم تطابق الاسم. الاسم الشائع أو قائمة SAN لا تطابق النطاق الذي يستجيب الخادم عليه فعليًا. هذا هو السبب الأكثر شيوعًا الذي يجعل الشهادة تُثبَّت ثم تفشل في المتصفح.

SAN مفقود. تم إصدار الشهادة، ويبدو الاسم الشائع صحيحًا، ومع ذلك لا يزال اسم مضيف واحد يُظهر خطأً. فك تشفير CSR وتحقق مما إذا كان اسم المضيف هذا موجودًا أصلًا في قائمة SAN. إذا لم يكن موجودًا، فهو لم يكن مغطى مطلقًا.

رمز بلد مرفوض. ثلاثة أحرف بدلًا من حرفين. ترفض جهة الإصدار الطلب، وعادةً برسالة لا تُسمّي الحقل المعني.

ولاية مختصرة. CA بدلًا من California، NY بدلًا من New York. طلبات Domain Validated تنجح. أما طلبات Organization Validated وExtended Validation فتتعطل في التحقق حتى تُعيد التقديم.

مفتاح صغير جدًا. مفتاح RSA بحجم 1024 بت غير مقبول لدى جهات الإصدار العامة منذ سنوات. أعِد إنشاء CSR بمفتاح 2048 بت أو أكبر؛ لا يمكنك حل هذه المشكلة بتحرير الطلب نفسه.

حقل OU اختفى. وضعت قسمًا في حقل الوحدة التنظيمية، ولم يظهر في الشهادة المُصدرة. هذا سلوك متوقع منذ سبتمبر 2022، ولا يمثل خطأً من جانب جهة الإصدار. اقرأ سبب إزالة حقل OU.

CSR لا يطابق مفتاحك الخاص. غالبًا ما يكون نتيجة إنشاء CSR ثانٍ وضياع تتبع أي زوج مفاتيح يرتبط بأي طلب. تحل أداة مطابقة مفاتيح الشهادة المشكلة في خطوة واحدة.

نطاق دولي بصيغة خاطئة. يجب أن تظهر النطاقات غير المكتوبة بحروف ASCII بصيغة Punycode، وهي الصيغة xn--، بدلًا من نصها الأصلي.

فك تشفير CSR باستخدام OpenSSL

إذا كان لديك OpenSSL مثبتًا، يمكنك قراءة CSR دون متصفح:

openssl req -in example.csr -noout -text

أضف -verify للتحقق من توقيع الطلب نفسه في الوقت ذاته، وهو ما يؤكد أن CSR لم يُعدَّل منذ إنشائه:

openssl req -in example.csr -noout -text -verify

يضع الناتج الاسم المميز كاملًا في سطر Subject:، في سلسلة واحدة مفصولة بفواصل بدلًا من حقول منفصلة، فاقرأه من اليسار إلى اليمين: C، ST، L، O، OU، CN. وتحت ذلك، يُسمّي Public Key Algorithm نوع الخوارزمية RSA أو ECDSA، ويُظهر Public-Key: طول البت بين قوسين. Signature Algorithm يظهر مرتين، مرة قرب الأعلى ومرة في الأسفل بجانب قسم التوقيع؛ وكلاهما يشير إلى توقيع CSR نفسه.

من السهل تفويت الأسماء البديلة للموضوع (SAN). فهي ليست جزءًا من سطر Subject. ابحث بعد ذلك عن قسم Requested Extensions وعنصر X509v3 Subject Alternative Name الموجود تحته. إذا كان هذا القسم غائبًا، فإن CSR لا يحتوي على أي SAN إطلاقًا.

أداة الويب المذكورة أعلاه هي الخيار الأسرع عندما لا يكون OpenSSL مثبتًا، أو عندما تعمل على نظام Windows بدون WSL، أو عندما خرج CSR من لوحة استضافة ولا يوجد إلا كنص في تبويب متصفح. الناتج هو نفس المعلومات، ولكن بتسميات بلغة واضحة.

فك تشفير CSR لصالح Sectigo أو DigiCert أو أي جهة إصدار أخرى

CSR هو ملف من نوع PKCS#10، ولا تتغير هذه الصيغة بناءً على من سيوقّعها. لا توجد صيغة CSR خاصة بـSectigo أو خاصة بـDigiCert، وبالتالي فإن أداة فك تشفير واحدة تعمل مع الطلبات الموجهة لأي جهة إصدار شهادات.

ما يختلف بين جهات الإصدار هو أي الحقول يتم التحقق منها ومدى الصرامة في ذلك. تفحص الشهادات الموثقة على مستوى النطاق (Domain Validated) فقط التحكم في النطاق وتتجاهل حقل المؤسسة كليًا. أما شهادات Organization Validated وExtended Validation فتتطلب مطابقة حقول المؤسسة والموقع الجغرافي والولاية والبلد مع السجلات العامة، وهذا هو السبب في أن دقة هذه الحقول تزداد أهميتها كلما ارتفعت في سلم التحقق.

الأسئلة المتداولة