Windows में CSR कैसे जनरेट करें

यह गाइड आपको दिखाता है कि Windows पर CSR (Certificate Signing Request) कैसे जनरेट करें, ऑपरेटिंग सिस्टम के साथ आने वाले टूल्स का उपयोग करके।

CSR एक PKCS #10 टेक्स्ट ब्लॉक है जो आपकी पब्लिक की और सब्जेक्ट डिटेल्स को सर्टिफिकेट अथॉरिटी तक पहुंचाता है, जो इसे साइन करके आपका SSL/TLS सर्टिफिकेट वापस भेजती है। मैचिंग प्राइवेट की उसी मशीन पर रहती है जो रिक्वेस्ट जनरेट करती है।

Windows आपको CSR बनाने के तीन नेटिव तरीके देता है, और हर एक नीचे बताया गया है। वह तरीका चुनें जो आपके वर्कफ़्लो के अनुकूल हो:

• Certificates MMC स्नैप-इन (ग्राफिकल), जो आपको एक विज़ार्ड के माध्यम से गाइड करता है और आपको Subject Alternative Name जोड़ने देता है। यह वही रास्ता है जिसे मूल ट्यूटोरियल में कवर किया गया था, और जिसे अधिकतर उपयोगकर्ता चाहते हैं।
• INF फाइल के साथ certreq.exe कमांड-लाइन टूल, जो स्क्रिप्टेबल है, SAN को सपोर्ट करता है, और Windows Server पर स्टैंडर्ड तरीका है।
• Windows के लिए OpenSSL बाइनरी (एक अलग डाउनलोड), जो CSR को बिल्कुल उसी तरह बनाती है जैसे Linux एडमिनिस्ट्रेटर करते हैं।

यदि आप अपने खुद के CSR वर्कफ़्लो वाला वेब सर्वर चलाते हैं, तो सामान्य Windows चरणों के बजाय उसका उपयोग करें: IIS और Microsoft Exchange के लिए समर्पित गाइड देखें। नीचे दिए गए चरण Windows 10, Windows 11, और Windows Server 2016 से लेकर 2025 तक को कवर करते हैं; शुरू करने से पहले ऐसे अकाउंट से साइन इन करें जिसके पास लोकल एडमिनिस्ट्रेटर अधिकार हों।

Certificates MMC स्नैप-इन के साथ CSR जनरेट करें

Microsoft Management Console (MMC) Windows के हर समर्थित वर्जन के साथ आता है और एक Create Custom Request विज़ार्ड प्रदान करता है जो SAN एंट्री के साथ CSR बना सकता है। यह विज़ार्ड नई प्राइवेट की को Local Computer सर्टिफिकेट स्टोर में सेव करता है, इसलिए मशीन पर मौजूद कोई भी Windows सर्विस (IIS, ADFS, RD Gateway, RDP) इंस्टॉल होने के बाद जारी किए गए सर्टिफिकेट का उपयोग कर सकती है।

चरण 1: Local Computer के लिए MMC Certificates स्नैप-इन खोलें

Win + R दबाएं, नीचे दिया गया कमांड टाइप करें, और Enter दबाएं:

mmc

खाली MMC कंसोल में, File > Add/Remove Snap-in खोलें। बाईं सूची में Certificates चुनें, Add पर क्लिक करें, Computer account चुनें, Next पर क्लिक करें, Local computer को चयनित रहने दें, और Finish पर क्लिक करें, फिर OK। अब Certificates स्नैप-इन Local Computer स्टोर से जुड़ गया है, जिसे Windows सर्विसेज पढ़ती हैं।

चरण 2: कस्टम सर्टिफिकेट रिक्वेस्ट शुरू करें

बाएं पैनल में, Certificates (Local Computer) को विस्तृत करें और Personal पर राइट-क्लिक करें। All Tasks > Advanced Operations > Create Custom Request चुनें। Certificate Enrollment विज़ार्ड खुल जाएगा। Next पर क्लिक करें।

Select Certificate Enrollment Policy स्क्रीन पर, Custom Request के अंतर्गत Proceed without enrollment policy चुनें और Next पर क्लिक करें। यह Windows को इंटरनल Active Directory Certificate Services टेम्पलेट के खिलाफ एनरोल करने के बजाय बाहरी CA के लिए स्टैंडअलोन CSR बनाने के लिए कहता है।

चरण 3: टेम्पलेट और रिक्वेस्ट फॉर्मेट चुनें

Custom request स्क्रीन पर, Template को (No template) CNG key पर सेट करें, Request format को PKCS #10 पर छोड़ दें, और Next पर क्लिक करें। CNG (Cryptography Next Generation) आधुनिक Windows की प्रोवाइडर है और नई रिक्वेस्ट के लिए सही विकल्प है; लीगेसी CSP विकल्प केवल पुराने एप्लीकेशन के साथ कम्पेटिबिलिटी के लिए आवश्यक है।

Certificate Information स्क्रीन पर, रिक्वेस्ट एंट्री के बगल में Details तीर को विस्तृत करें और Properties पर क्लिक करें। Certificate Properties डायलॉग वह जगह है जहां CSR का बाकी हिस्सा कॉन्फ़िगर किया जाता है।

चरण 4: सब्जेक्ट और Subject Alternative Names भरें

General टैब पर, एक फ्रेंडली नाम और वैकल्पिक विवरण टाइप करें ताकि आप बाद में सर्टिफिकेट स्टोर में लंबित रिक्वेस्ट को पहचान सकें।

Subject टैब पर स्विच करें। Subject name में, Type को Full DN पर तभी छोड़ें जब आप जानते हों कि आप क्या कर रहे हैं; अधिकतर ऑर्डर के लिए, Type ड्रॉपडाउन का उपयोग करके हर कंपोनेंट को एक-एक करके जोड़ें। नीचे दिए गए हर एट्रिब्यूट के लिए, टाइप चुनें, वैल्यू टाइप करें, और Add पर क्लिक करें:

• Common Name: वह फुली क्वालिफाइड डोमेन नेम जिसे आप सुरक्षित करना चाहते हैं, उदाहरण के लिए www.yourdomain.com। वाइल्डकार्ड सर्टिफिकेट के लिए, एपेक्स डोमेन के आगे एक तारांकन चिन्ह लगाएं, उदाहरण के लिए *.yourdomain.com।
• Country: दो-अक्षर वाला ISO कंट्री कोड, उदाहरण के लिए US, GB, या DE।
• State: पूरा राज्य या प्रांत का नाम (उदाहरण के लिए California, न कि CA)।
• Locality: वह शहर जहां आपका संगठन पंजीकृत है, उसका पूरा नाम (उदाहरण के लिए San Jose, न कि SJ)।
• Organization: आपकी कंपनी का कानूनी नाम, ठीक उसी तरह जैसा पंजीकृत है। OV और EV सर्टिफिकेट के लिए आवश्यक है। Domain Validation (DV) सर्टिफिकेट के लिए, इस फील्ड को नज़रअंदाज़ किया जाता है, इसलिए कोई भी प्लेसहोल्डर काम करता है।

Email एट्रिब्यूट को छोड़ दें। RFC 5280 कहता है कि ईमेल एड्रेस वाले नए सर्टिफिकेट को इसे Subject Alternative Name एक्सटेंशन में (एक rfc822Name के रूप में) रखना चाहिए, न कि सब्जेक्ट डिस्टिंग्विश्ड नेम में, और पब्लिक CA TLS सर्टिफिकेट के सब्जेक्ट से ईमेल वैल्यू हटा सकते हैं। इसे छोड़ने से CSR साफ-सुथरा रहता है।

उसी टैब के Alternative name सेक्शन में, Type को DNS पर सेट करें और सर्टिफिकेट को कवर करने वाला हर होस्टनेम जोड़ें, हर एंट्री के लिए Add पर एक क्लिक। यहां हमेशा Common Name भी शामिल करें: ब्राउज़र, .NET, Java, Go, और अन्य आधुनिक TLS क्लाइंट होस्टनेम को सख्ती से SAN सूची के खिलाफ वैलिडेट करते हैं और Common Name को नज़रअंदाज़ करते हैं। एक सामान्य वेब सर्टिफिकेट दो DNS एंट्रीज़ का उपयोग करता है:

• yourdomain.com
• www.yourdomain.com

वाइल्डकार्ड ऑर्डर के लिए, वाइल्डकार्ड और एपेक्स दोनों जोड़ें: *.yourdomain.com और yourdomain.com।

चरण 5: की और सिग्नेचर कॉन्फ़िगर करें

Private Key टैब पर स्विच करें और हर सेक्शन को बारी-बारी से विस्तृत करें।

• Cryptographic Service Provider: डिफ़ॉल्ट RSA, Microsoft Software Key Storage Provider चयनित रहने दें। यह RSA कीज़ के लिए आधुनिक CNG प्रोवाइडर है।
• Key options: Key size को 2048 पर सेट करें (वर्तमान पब्लिक-CA न्यूनतम)। 3072 या 4096 तभी चुनें जब आपकी नीति एक बड़ी की की मांग करती हो; इसका ट्रेड-ऑफ थोड़ा धीमा TLS हैंडशेक है। यदि आप की को बैकअप करना चाहते हैं या जारी किए गए सर्टिफिकेट को किसी दूसरे सर्वर पर ले जाना चाहते हैं, तो Make private key exportable पर टिक करें।
• Select Hash Algorithm: Select hash algorithm सेक्शन में, sha256 चुनें। SHA-1 अब पब्लिक CA द्वारा स्वीकार नहीं किया जाता और SHA-256 आधुनिक डिफ़ॉल्ट है। Use alternate signature format चेकबॉक्स को बंद ही छोड़ें।

प्रॉपर्टीज़ डायलॉग बंद करने के लिए OK पर क्लिक करें, फिर विज़ार्ड पर Next पर क्लिक करें।

चरण 6: CSR फाइल सेव करें

Where do you want to save the offline request? स्क्रीन पर, File format को Base 64 पर सेट करें (CA base64-एन्कोडेड PEM की अपेक्षा करते हैं, बाइनरी की नहीं)। Browse पर क्लिक करें, ऐसा फोल्डर चुनें जिसे आप फिर से ढूंढ सकें (एक समर्पित C:certs फोल्डर या Desktop डिफ़ॉल्ट Windows पथ से आसान है), फाइल को .req या .txt एक्सटेंशन के साथ एक नाम दें, और Save पर क्लिक करें। CSR लिखने के लिए Finish पर क्लिक करें।

विज़ार्ड CSR को फाइल में लिखता है और मैचिंग प्राइवेट की को Certificates (Local Computer) > Certificate Enrollment Requests में स्टोर करता है। उस लंबित रिक्वेस्ट को डिलीट न करें: जब CA जारी सर्टिफिकेट वापस भेजता है, तो Windows इसे प्रतीक्षारत की के साथ स्वचालित रूप से जोड़ देता है।

चरण 7: CSR कॉपी करें और CA को सबमिट करें

Notepad में सेव की गई फाइल खोलें। आपको इस तरह का एक ब्लॉक दिखना चाहिए:

-----BEGIN NEW CERTIFICATE REQUEST-----
MIIDXjCCAkYCAQAwgZQxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
... (many lines of base64) ...
-----END NEW CERTIFICATE REQUEST-----

पूरा ब्लॉक चुनें, जिसमें पांच-हाइफ़न वाली BEGIN NEW CERTIFICATE REQUEST और END NEW CERTIFICATE REQUEST लाइनें शामिल हों, इसे कॉपी करें, और अपने SSL ऑर्डर फॉर्म पर CSR फील्ड में पेस्ट करें।

certreq.exe और एक INF फाइल के साथ CSR जनरेट करें

certreq.exe कमांड-लाइन यूटिलिटी Windows Server के हर वर्जन के साथ आती है और यह Windows 10 और 11 क्लाइंट पर भी मौजूद है। यह सही तरीका है जब आप CSR निर्माण को स्क्रिप्ट करना चाहते हैं, असामान्य की पैरामीटर सेट करना चाहते हैं, या ऐसे रिमोट सेशन पर रिक्वेस्ट बनाना चाहते हैं जो MMC नहीं चला सकता। इस फ्लो के तीन भाग हैं: एक रिक्वेस्ट INF फाइल लिखें, CSR जनरेट करने के लिए certreq -new चलाएं, फिर CSR को अपने CA को सबमिट करें।

चरण 1: रिक्वेस्ट INF फाइल बनाएं

Notepad को Administrator के रूप में खोलें और नीचे दी गई फाइल को request.inf के रूप में सेव करें। अपने डोमेन से मेल खाने के लिए Subject लाइन और [Extensions] के अंतर्गत DNS एंट्रीज़ को संपादित करें:

[Version]
Signature="$Windows NT$"

[NewRequest]
Subject = "CN=www.yourdomain.com, O=Your Company, L=San Jose, S=California, C=US"
KeySpec = 1
KeyLength = 2048
Exportable = TRUE
MachineKeySet = TRUE
SMIME = FALSE
PrivateKeyArchive = FALSE
UserProtected = FALSE
UseExistingKeySet = FALSE
ProviderName = "Microsoft RSA SChannel Cryptographic Provider"
ProviderType = 12
RequestType = PKCS10
KeyUsage = 0xa0
HashAlgorithm = SHA256

[EnhancedKeyUsageExtension]
OID = 1.3.6.1.5.5.7.3.1

[Extensions]
2.5.29.17 = "{text}"
_continue_ = "dns=www.yourdomain.com&"
_continue_ = "dns=yourdomain.com"

वैल्यूज़ पर नोट्स:

• Subject: कॉमा से अलग किए गए कंपोनेंट्स के साथ एक सिंगल लाइन। C= में दो-अक्षर वाला ISO कंट्री कोड उपयोग करें, और राज्य व शहर के नाम पूरे लिखें।
• KeyLength: न्यूनतम 2048। यदि आपकी नीति एक बड़ी की की मांग करती है तो 3072 या 4096 सेट करें।
• Exportable = TRUE: आपको जारी सर्टिफिकेट के साथ प्राइवेट की को एक्सपोर्ट करने देता है (बैकअप के लिए या दूसरे सर्वर पर इंस्टॉल करने के लिए)। यदि आप चाहते हैं कि की इस मशीन तक सीमित रहे तो इसे FALSE पर सेट करें।
• MachineKeySet = TRUE: की को Local Computer स्टोर में स्टोर करता है, जिसे IIS जैसी सर्विसेज पढ़ती हैं। सर्वर वर्कलोड के लिए इसे चालू रखें।
• HashAlgorithm = SHA256: रिक्वेस्ट को SHA-256 के साथ साइन करता है, जो आधुनिक डिफ़ॉल्ट है। पुराने उदाहरण कभी-कभी डिफ़ॉल्ट रूप से SHA-1 का उपयोग करते हैं, जिसे पब्लिक CA अब स्वीकार नहीं करते।
• 2.5.29.17: Subject Alternative Name के लिए OID। हर होस्टनेम के लिए एक _continue_ लाइन जोड़ें; आखिरी को छोड़कर हर लाइन & सेपरेटर के साथ समाप्त होनी चाहिए। यहां भी अपना Common Name सूचीबद्ध करें, क्योंकि TLS क्लाइंट SAN सूची के खिलाफ वैलिडेट करते हैं।

चरण 2: CSR जनरेट करें

एक एलिवेटेड Command Prompt या PowerShell खोलें, उस फोल्डर में जाएं जिसमें request.inf है, और चलाएं:

certreq -new request.inf request.csr

यह टूल Local Computer स्टोर में प्राइवेट की बनाता है और PKCS #10 रिक्वेस्ट को request.csr में लिखता है। फाइल खोलें, पूरा BEGIN NEW CERTIFICATE REQUEST से END NEW CERTIFICATE REQUEST तक का ब्लॉक कॉपी करें, और इसे अपने ऑर्डर फॉर्म में पेस्ट करें।

जब CA जारी सर्टिफिकेट वापस भेजता है, तो जोड़ी पूरी करें:

certreq -accept certnew.cer

यह जारी सर्टिफिकेट को स्टोर में प्रतीक्षारत प्राइवेट की के साथ जोड़ता है, जिसके बाद सर्टिफिकेट किसी भी Windows सर्विस के लिए उपलब्ध हो जाता है जिसे इसकी आवश्यकता है।

OpenSSL के साथ Windows पर CSR जनरेट करें

Windows OpenSSL के साथ नहीं आता, लेकिन एक मेंटेन किया गया Windows बिल्ड Shining Light Productions से उपलब्ध है। OpenSSL फ्लो Linux के समान ही है और एक की और एक CSR को दो अलग फाइलों के रूप में बनाता है, जो उपयोगी है यदि आप सर्टिफिकेट को ऐसे प्लेटफॉर्म पर डिप्लॉय करने की योजना बना रहे हैं जो Windows सर्टिफिकेट स्टोर का उपयोग नहीं करता (उदाहरण के लिए एक थर्ड-पार्टी रिवर्स प्रॉक्सी, Tomcat, या एक कस्टम एप्लीकेशन)।

Win64 OpenSSL Light पैकेज इंस्टॉल करें (नियमित इंस्टॉलर CSR कार्य के लिए पर्याप्त है) और, जब सेटअप पूछे, तो OpenSSL DLLs को Windows सिस्टम फोल्डर के बजाय OpenSSL bin डायरेक्टरी में कॉपी करें। Command Prompt या PowerShell खोलें और पुष्टि करें कि OpenSSL path पर है:

openssl version

यदि कमांड नहीं मिलता, तो या तो इंस्टॉलेशन फोल्डर (आमतौर पर C:Program FilesOpenSSL-Win64bin) को अपने PATH में जोड़ें या openssl को पूरे पथ के साथ कॉल करें। फिर एक ही कमांड से CSR और की जनरेट करें:

openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr -subj "/C=US/ST=California/L=San Jose/O=Your Company/CN=www.yourdomain.com" -addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

हर फ्लैग क्या करता है:

• -newkey rsa:2048 एक ताज़ा 2048-बिट RSA की बनाता है। यदि आपकी नीति एक बड़ी की की मांग करती है तो rsa:4096 का उपयोग करें।
• -nodes प्राइवेट की को बिना पासफ्रेज़ के लिखता है ताकि उपभोग करने वाली सर्विस स्टार्टअप पर बिना पूछे इसे पढ़ सके। OpenSSL 3.x ने इस फ्लैग का नाम बदलकर -noenc कर दिया है; -nodes अभी भी काम करता है लेकिन इसे डिप्रिकेटेड माना जाता है।
• -keyout और -out की फाइल और CSR फाइल का नाम बताते हैं।
• -subj सब्जेक्ट को इनलाइन प्रदान करता है ताकि OpenSSL इंटरैक्टिव प्रश्न पूछने के लिए न रुके।
• -addext “subjectAltName=…” SAN सूची जोड़ता है। यहां भी Common Name शामिल करें।

OpenSSL 3.x डिफ़ॉल्ट रूप से CSR को SHA-256 के साथ साइन करता है, इसलिए किसी अतिरिक्त डाइजेस्ट फ्लैग की आवश्यकता नहीं है। अलग हेडर पर ध्यान दें: OpenSSL -----BEGIN CERTIFICATE REQUEST----- लिखता है, जबकि MMC विज़ार्ड और certreq -----BEGIN NEW CERTIFICATE REQUEST----- लिखते हैं। दोनों साधारण PKCS #10 रिक्वेस्ट हैं और हर CA दोनों फॉर्म को स्वीकार करती है। परिणामी yourdomain.key को एक गुप्त वस्तु मानें: जिसके पास यह होगा वह सर्टिफिकेट का प्रतिरूपण कर सकता है।

सबमिट करने से पहले CSR को वेरिफाई करें

रिक्वेस्ट को अपने CA को भेजने से पहले Common Name, SAN एंट्रीज़, की साइज़, और सिग्नेचर एल्गोरिदम की पुष्टि करें। Windows कमांड लाइन से, certutil किसी भी CSR फाइल को पढ़ता है:

certutil -dump request.csr

यदि आपने OpenSSL इंस्टॉल किया है, तो समकक्ष कमांड वही विवरण प्रिंट करती है:

openssl req -noout -text -in request.csr

ब्राउज़र पसंद है? रिक्वेस्ट की सामग्री को SSL Dragon के CSR डिकोडर में पेस्ट करें ताकि सब्जेक्ट, SAN सूची, की साइज़, और सिग्नेचर एल्गोरिदम को वापस पढ़ सकें। पुष्टि करें कि Common Name उस होस्टनेम से मेल खाता है जिसका उपयोग क्लाइंट करेंगे, कि SAN सूची के अंतर्गत हर आवश्यक नाम दिखाई देता है, और सिग्नेचर एल्गोरिदम sha256WithRSAEncryption (या इससे मजबूत) है।

यदि आप CSR को सर्वर के बाहर जनरेट करना पसंद करते हैं, तो हमारा CSR जनरेटर एक ही फॉर्म से (SAN के साथ) एक रिक्वेस्ट बनाता है। इसका ट्रेड-ऑफ यह है कि प्राइवेट की आपके ब्राउज़र में जनरेट होती है, Windows स्टोर में नहीं, इसलिए जब CA सर्टिफिकेट जारी करता है तो आप सर्टिफिकेट और की को एक .pfx फाइल में मिलाते हैं और इसे अपने एप्लीकेशन के सर्टिफिकेट मैनेजमेंट कंसोल के माध्यम से इंपोर्ट करते हैं।

अक्सर पूछे जाने वाले प्रश्न