Decoder CSR

Tempelkan Certificate Signing Request di bawah ini dan CSR decoder ini akan menunjukkan apa yang sebenarnya ada di dalamnya: Common Name dan bagian lain dari Distinguished Name, kunci publik beserta ukuran kuncinya, algoritma tanda tangan, dan setiap Subject Alternative Name yang tercakup dalam permintaan tersebut.

Membaca kolom-kolom tersebut hanya butuh beberapa detik. Melewatkannya bisa berakibat penerbitan ulang. Sebuah Certificate Authority akan dengan senang hati menandatangani CSR yang berisi domain salah ketik, dan Anda baru menyadarinya ketika browser mulai menampilkan error name mismatch pada sertifikat yang sudah Anda bayar dan pasang.

Decode File CSR Anda

Tempelkan seluruh teks CSR Anda ke dalam kotak, termasuk baris header dan footer:

CSR yang valid diawali dengan —–BEGIN CERTIFICATE REQUEST—– dan diakhiri dengan —–END CERTIFICATE REQUEST—–.

Server Windows yang menjalankan IIS menuliskan baris pembuka sebagai —–BEGIN NEW CERTIFICATE REQUEST—–. Kedua bentuk ini berfungsi di sini. File mungkin tiba dengan ekstensi .csr, .pem atau .txt; yang penting hanyalah teks di dalamnya. CSR decoder online gratis ini membaca PEM, format Base64 yang dihasilkan oleh hampir semua server dan panel hosting.

Belum punya CSR? Buat satu dengan CSR generator kami, atau ikuti panduan CSR untuk platform Anda.

Apa yang ditampilkan CSR decoder

Setiap CSR membawa dua hal yang dibutuhkan Certificate Authority: siapa Anda menurut klaim Anda, dan kunci publik yang ingin Anda sertifikasi. Bagian identitas disebut Subject, atau Distinguished Name, dan berupa sekumpulan kolom berlabel, bukan satu string panjang. Decoder ini memecah Distinguished Name menjadi bagian-bagiannya dan melaporkan detail kunci di sampingnya.

Tabel di bawah ini mencakup setiap kolom yang dikembalikan oleh CSR decoder ini, seperti apa nilai yang valid, dan apa yang salah jika tidak demikian.

CSR juga bisa menyimpan atribut opsional dan ekstensi yang diminta yang biasanya dilewatkan oleh sebagian besar decoder. Challenge password adalah string opsional yang dulu digunakan sebagian CA untuk mengotorisasi pencabutan; biarkan kosong kecuali CA Anda memintanya. Ekstensi yang diminta seperti keyUsage, extendedKeyUsage dan basicConstraints menjelaskan apa yang boleh dilakukan sertifikat, meski CA yang menentukan nilai akhirnya.

Cara kerja decoding CSR

CSR adalah permintaan sertifikasi PKCS#10, format yang didefinisikan oleh RFC 2986. Isinya dijelaskan dalam ASN.1, diserialisasi menjadi DER, yang bersifat biner, lalu di-encode Base64 dan dibungkus dengan baris header dan footer PEM agar permintaan tersebut tetap utuh saat dikirim lewat email atau disalin-tempel tanpa rusak.

Decoding membalikkan rantai proses tersebut. Alat ini melepas pembungkus PEM, mengubah Base64 kembali menjadi DER, mengurai struktur ASN.1, dan memberi label pada setiap nilai yang ditemukan.

Tidak ada proses dekripsi di tahap mana pun, karena tidak ada yang dienkripsi dalam CSR. CSR menyimpan kunci publik Anda. Private key tetap berada di server yang menghasilkannya dan tidak pernah dimasukkan ke dalam permintaan sama sekali. Siapa pun yang mencegat CSR dapat membacanya, dan justru itulah sebabnya aman untuk mengirimkannya lewat email kepada Certificate Authority.

Yang dibawa oleh CSR adalah tanda tangan. Permintaan ini ditandatangani dengan private key yang cocok dengan public key di dalamnya, yang membuktikan bahwa Anda memegang kunci tersebut. Ini disebut Proof of Possession, dan begitulah cara CA mengetahui bahwa orang yang meminta sertifikat benar-benar mengendalikan kunci yang akan disertifikasi.

Setelah CA memvalidasi permintaan tersebut, ia menerbitkan sertifikat X.509 yang berisi public key Anda dan kolom Subject mana pun yang berhasil diverifikasi.

Yang harus diperiksa sebelum mengirimkan CSR Anda

Periksa hasil decoding terhadap daftar ini sebelum permintaan tersebut dikirimkan ke Certificate Authority mana pun. Menggunakan decoder sebagai CSR checker pada tahap ini hanya memakan waktu semenit. Menemukan kesalahan yang sama setelah penerbitan berarti Anda harus menerbitkan ulang dan menerapkan ulang sertifikat.

1. Common Name sama persis dengan fully qualified domain name Anda, baik menyertakan maupun tidak menyertakan www sesuai maksud Anda. example.com dan www.example.com adalah dua nama yang berbeda.
2. Setiap domain yang Anda butuhkan muncul dalam daftar SAN, bukan hanya di Common Name.
3. Negara tepat dua huruf. Periksa terhadap daftar ISO 3166-1 alpha-2 jika Anda tidak yakin.
4. State dan locality ditulis lengkap, bukan disingkat.
5. Organization adalah nama resmi terdaftar Anda, jika Anda membeli sertifikat OV atau EV. Sertifikat Domain Validated mengabaikan kolom ini.
6. Kunci berukuran RSA 2048-bit atau lebih besar, atau ECDSA 256-bit atau lebih besar.
7. Algoritma tanda tangan adalah SHA-256 atau yang lebih kuat.
8. Sintaks wildcard adalah *.example.com, yang hanya mencakup satu tingkat saja. Ini tidak mencakup shop.eu.example.com.
9. Anda masih memiliki private key tempat CSR ini dihasilkan. Pastikan hal ini dengan Certificate Key Matcher sebelum Anda memesan.

Masalah CSR umum yang terungkap oleh decoder

Name mismatch. Common Name atau daftar SAN tidak sesuai dengan domain tempat server sebenarnya merespons. Ini adalah penyebab paling umum sertifikat berhasil dipasang tapi tetap gagal di browser.

SAN yang hilang. Sertifikat sudah diterbitkan, Common Name terlihat benar, dan satu hostname masih menunjukkan error. Decode CSR tersebut dan periksa apakah hostname itu pernah ada dalam daftar SAN. Jika tidak, hostname itu memang tidak pernah tercakup.

Kode negara yang ditolak. Tiga huruf, bukan dua. CA menolak permintaan tersebut, biasanya dengan pesan yang tidak menyebutkan kolom mana yang bermasalah.

State yang disingkat. CA alih-alih California, NY alih-alih New York. Pesanan Domain Validated tetap lolos. Pesanan Sertifikat SSL Organization Validation dan Extended Validation tertahan dalam validasi sampai Anda mengirim ulang.

Kunci yang terlalu kecil. RSA 1024-bit sudah tidak diterima oleh CA publik selama bertahun-tahun. Buat ulang CSR dengan kunci 2048-bit atau lebih besar; masalah ini tidak bisa diperbaiki hanya dengan mengedit permintaan.

Kolom OU menghilang. Anda memasukkan sebuah departemen ke kolom Organizational Unit dan ternyata tidak ada di sertifikat yang diterbitkan. Ini adalah perilaku yang memang diharapkan sejak September 2022, bukan kesalahan dari pihak CA. Baca alasan kolom OU dihapus.

CSR yang tidak cocok dengan private key Anda. Biasanya terjadi akibat membuat CSR kedua dan kehilangan jejak pasangan kunci mana yang sesuai dengan permintaan mana. Certificate Key Matcher menyelesaikannya dalam satu langkah.

Domain internasional dalam bentuk yang salah. Domain non-ASCII harus muncul dalam bentuk Punycode, bentuk xn--, bukan dalam skrip aslinya.

Decode CSR dengan OpenSSL

Jika Anda sudah menginstal OpenSSL, Anda dapat membaca CSR tanpa browser:

openssl req -in example.csr -noout -text

Tambahkan -verify untuk sekaligus memeriksa tanda tangan permintaan itu sendiri, yang memastikan CSR tidak diubah sejak dihasilkan:

openssl req -in example.csr -noout -text -verify

Hasil keluaran ini menempatkan seluruh Distinguished Name pada baris Subject:, dalam satu rangkaian dipisah koma, bukan sebagai kolom terpisah, jadi bacalah dari kiri ke kanan: C, ST, L, O, OU, CN. Di bawahnya, Public Key Algorithm menyebutkan RSA atau ECDSA, dan Public-Key: memberikan panjang bit dalam tanda kurung. Signature Algorithm muncul dua kali, sekali di bagian atas dan sekali di bagian bawah di dekat blok tanda tangan; keduanya merujuk pada tanda tangan CSR itu sendiri.

Subject Alternative Name mudah terlewat. Kolom ini bukan bagian dari baris Subject. Cari lebih ke bawah untuk blok Requested Extensions dan entri X509v3 Subject Alternative Name di bawahnya. Jika blok tersebut tidak ada, berarti CSR tidak memiliki SAN sama sekali.

Alat berbasis web di atas adalah pilihan yang lebih cepat jika OpenSSL tidak terinstal, jika Anda menggunakan Windows tanpa WSL, atau jika CSR tersebut berasal dari panel hosting dan hanya ada sebagai teks di tab browser. Hasilnya adalah informasi yang sama, hanya diberi label dalam bahasa yang lebih mudah dipahami.

Decoding CSR untuk Sectigo, DigiCert, atau CA lainnya

CSR adalah file PKCS#10, dan formatnya tidak berubah tergantung siapa yang akan menandatanganinya. Tidak ada format CSR khusus Sectigo atau khusus DigiCert, jadi satu decoder saja bisa bekerja untuk permintaan yang ditujukan ke Certificate Authority mana pun.

Yang memang bervariasi antar-CA adalah kolom mana yang divalidasi dan seberapa ketat validasinya. Sertifikat Domain Validated hanya memeriksa kendali atas domain dan sepenuhnya mengabaikan kolom Organization. Sertifikat Organization Validated dan Sertifikat Extended Validation mengharuskan kolom Organization, Locality, State, dan Country sesuai dengan catatan publik, itulah sebabnya keakuratan kolom-kolom tersebut menjadi lebih penting semakin tinggi tingkat validasi yang Anda pilih.

Pertanyaan yang Sering Diajukan