Questo tutorial mostra come generare un CSR su Cerberus FTP Server. Cerberus ha spostato la generazione del CSR dalla vecchia finestra di dialogo di Windows al Server Manager basato su browser nella versione 13.1 (settembre 2023), rimuovendo la voce di menu nativa nella stessa release. La numerazione delle versioni è poi passata a uno schema basato sul calendario, quindi ogni build a partire dalla 2024.1 in avanti, incluse le attuali release del 2026, utilizza il modulo web descritto di seguito. Il prodotto fa ora parte di Redwood Software ed è pubblicato come Cerberus FTP Server by Redwood, ma le impostazioni trattate qui restano invariate.
Genera un CSR su Cerberus FTP Server
Se hai già generato il CSR e ricevuto il certificato firmato dalla tua CA, passa direttamente a come installare un certificato SSL su Cerberus FTP Server.
Hai due opzioni:
- Usa il nostro CSR Generator per creare il CSR e la chiave privata sul tuo computer, quindi copia entrambi i file sul server Cerberus.
- Segui i passaggi seguenti per creare il CSR direttamente all’interno di Cerberus, così la chiave privata resta sul server che la utilizzerà.
Passo 1: Apri il modulo per il CSR
- Apri Server Manager e seleziona la scheda Security.
- Nel pannello General, scorri fino alla sezione TLS Server Key Pair. Le build più vecchie chiamano questa sezione Server Key Pair.
- Clicca su Create A CSR. Si apre la finestra Create A Certificate Signing Request.
Poiché questo modulo si trova nell’interfaccia di amministrazione web, puoi creare un CSR da remoto invece di accedere alla console del server. La stessa sezione contiene il pulsante Create Self Signed Cert, che genera un certificato solo per test interni. Un certificato autofirmato non è considerato attendibile dai client, quindi se vuoi che i tuoi utenti FTPS e HTTPS si connettano senza avvisi, devi seguire la procedura del CSR e ottenere un certificato firmato da una CA pubblica.
Passo 2: Compila i dettagli del certificato
Il modulo richiede le seguenti informazioni, in questo ordine. Ogni campo, eccetto Contact Email, richiede un valore.
- Common Name: il nome di dominio completo (FQDN) usato dai client per raggiungere il server, ad esempio ftp.iltuosito.com. Per un server FTP questo spesso non coincide con l’hostname del tuo sito web, quindi usa il nome a cui si connettono effettivamente i tuoi utenti FTPS e web. Per un certificato wildcard, inserisci un asterisco davanti al dominio, come in *.iltuosito.com.
- State/Province: il nome completo dello stato o della provincia in cui è registrata la tua organizzazione, ad esempio California. Non abbreviarlo.
- Organization: il nome legale completo della tua azienda, ad esempio La Tua Azienda Srl. Per un certificato personale o a validazione di dominio, inserisci il nome a cui è registrato il dominio.
- Organization Unit: il vecchio campo del reparto. Il CA/Browser Forum lo ha eliminato a settembre 2022 e non è più consentito nei certificati TLS pubblicamente attendibili, quindi la CA scarterà qualsiasi valore inserito. Cerberus richiede comunque un valore, quindi inserisci qualcosa di neutro come IT o NA.
- Locality (City): il nome completo della città, ad esempio San Francisco.
- Contact Email: l’unico campo di questo elenco che puoi lasciare vuoto. Non ha alcun effetto sull’emissione, poiché la CA ti contatta tramite i dati riportati nell’ordine e non tramite il CSR.
- 2-Digit Country Code: il codice ISO 3166-1 a due lettere del tuo paese, digitato in una casella di testo piuttosto che selezionato da un elenco, ad esempio US, GB o CA.
Compila questi campi con attenzione, ma senza preoccuparti troppo. La CA costruisce il subject del certificato in base ai propri dati di validazione, non in base al tuo CSR. Su un certificato a validazione di dominio, nessuno dei valori relativi a organizzazione, città o stato compare nel certificato emesso. Su un certificato a validazione organizzativa o a validazione estesa questi valori compaiono, ma solo dopo che la CA li ha confermati rispetto a documenti ufficiali, quindi un errore di digitazione qui viene corretto durante la validazione e non finisce nel certificato finale.
Passo 3: Scegli il tipo di chiave, la lunghezza e l’algoritmo di firma
Questi tre menu a discesa determinano quale tipo di coppia di chiavi crea Cerberus. È la parte del modulo in cui una scelta sbagliata produce un CSR che nessuna CA pubblica può firmare, quindi merita un momento di attenzione.
- Key Type: Cerberus offre RSA, DSA, ECDSA, EdDSA 25519 e EdDSA 448. Solo RSA e ECDSA sono consentiti nei certificati TLS pubblicamente attendibili secondo i Baseline Requirements del CA/Browser Forum. Un CSR basato su DSA, EdDSA 25519 o EdDSA 448 verrà rifiutato da ogni CA pubblica, quindi scegli uno dei primi due. RSA è la scelta predefinita più sicura ed è il più ampiamente supportato dei due; scegli ECDSA solo se sai che i client che si connettono al tuo server lo supportano.
- Key Length: le opzioni variano in base al tipo di chiave. Per RSA, 2048 è il valore predefinito e il minimo accettato da una CA pubblica; passa a 3072 o 4096 solo se la tua politica di sicurezza lo richiede, tenendo presente che chiavi RSA più grandi comportano un tempo di handshake maggiore su un server di trasferimento file molto utilizzato. Per ECDSA, resta sulle curve NIST P-256, P-384 o P-521, poiché non è consentita alcuna altra curva.
- Signing Algorithm: lascia impostato sha256. Cerberus contrassegna le opzioni più vecchie con (Legacy), e alcune CA rifiutano un CSR autofirmato con SHA-1. Questa impostazione firma il CSR stesso e non ha alcuna influenza sull’algoritmo che la CA utilizzerà per firmare il tuo certificato, quindi non c’è alcun vantaggio a modificarla.
Passo 4: Imposta la password della chiave privata e l’opzione di download
- Private Password: opzionale, ma consigliata, poiché cifra il file della chiave privata a riposo. Cerberus non memorizza questa password da nessuna parte, e non può essere recuperata. Salvala nel tuo gestore di password prima di procedere, perché ti verrà richiesta quando caricherai il certificato emesso e spunterai Needs Key Password nella scheda Security.
- Download the CSR after creation: spunta questa opzione per ottenere una copia del CSR nella cartella dei download del tuo browser. Viene scaricato solo il CSR. La chiave privata non viene mai inviata al browser.
Che tu spunti o meno la casella, Cerberus scrive entrambi i file nella cartella dei certificati sul server, per impostazione predefinita C:ProgramDataCerberus LLCCerberus FTP Servercertificates. Il modulo mostra il percorso esatto che verrà utilizzato. Nota che la cartella conserva ancora il nome precedente all’acquisizione, Cerberus LLC, quindi è corretto anche se ora il prodotto viene distribuito sotto Redwood.
Passo 5: Crea il CSR e invialo alla tua CA
Controlla ancora una volta i dettagli, quindi clicca su Create. Nel modulo web non appare alcun selettore di cartella, diversamente dalla vecchia procedura guidata desktop. Cerberus salva immediatamente il CSR e la chiave privata corrispondente nella cartella dei certificati, e scarica il CSR se lo hai richiesto.
Apri il file CSR con un qualsiasi editor di testo, come Notepad, e copia tutto il contenuto, comprese la prima e l’ultima riga:
-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----Incolla quel testo nel campo CSR del modulo d’ordine del tuo fornitore SSL. Quando il modulo chiede quale software server utilizzi, scegli OTHER, poiché Cerberus raramente viene elencato con il proprio nome. Prima di inviare, esegui il testo tramite il nostro CSR Decoder per confermare che il Common Name, il tipo di chiave e la dimensione della chiave siano corretti come previsto. Individuare un errore a questo punto richiede un minuto; individuarlo dopo l’emissione significa dover richiedere una nuova emissione.
Lascia la chiave privata dove Cerberus l’ha salvata. Non viene mai inviata alla CA, deve restare sul server, e dovrai indicarla a Cerberus, insieme alla sua password, quando arriverà il certificato firmato. Fanne anche una copia di backup in un luogo sicuro, seguendo le nostre indicazioni su come conservare la chiave privata. Se la chiave viene persa, il certificato emesso diventa inutilizzabile e dovrai ripartire da un nuovo CSR.
Generare un CSR in Cerberus 13.0 e versioni precedenti
Nelle build precedenti alla 13.1, lo strumento per il CSR è una finestra di dialogo nativa e non un modulo web. Apri il menu Tools nell’interfaccia desktop di Cerberus e seleziona Generate a CSR. La vecchia finestra, intitolata Generate a Certificate Signing Request, richiede più o meno gli stessi dati identificativi, con due differenze da tenere presenti: ha un campo aggiuntivo opzionale Street per l’indirizzo della tua organizzazione, e seleziona il paese da un elenco a discesa invece di richiedere un codice a due lettere. Offre inoltre solo Key Type e Key Length, senza alcuna impostazione relativa all’algoritmo di firma. Clicca su Generate e apparirà un selettore di cartella per scegliere dove verranno salvati la chiave privata e il file CSR. Questa voce di menu non è disponibile nella console di amministrazione basata su browser, ed è stata rimossa completamente nella versione 13.1.
Se stai ancora utilizzando una di quelle release, pianifica un aggiornamento invece di cercare soluzioni alternative alla vecchia finestra di dialogo. La linea 13.x si è conclusa con la versione 13.2.1 nel dicembre 2023, quindi ora le correzioni di sicurezza vengono rilasciate solo per le release con numerazione basata sul calendario, che sono anche le build con una scelta più ampia di tipi di chiave e un modulo per il CSR accessibile da remoto.
Domande frequenti
Entrambi i file vengono salvati nella cartella dei certificati di Cerberus sul server, per impostazione predefinita C:ProgramDataCerberus LLCCerberus FTP Servercertificates. Il modulo CSR mostra il percorso che verrà utilizzato prima di cliccare su Create. Se hai spuntato Download the CSR after creation, una seconda copia del CSR verrà salvata nella cartella dei download del tuo browser, ma la chiave privata resta sul server.
Scegli RSA a 2048 bit per un certificato che intendi acquistare da una CA pubblica. Cerberus offre anche DSA, EdDSA 25519 ed EdDSA 448, ma nessuno di questi è consentito nei certificati TLS pubblicamente attendibili, quindi un CSR basato su di essi non può essere firmato. ECDSA è consentito e offre chiavi più piccole e handshake più rapidi, limitato alle curve P-256, P-384 e P-521. È una buona scelta quando controlli tu i client FTPS e sai che lo supportano, e una scelta scadente quando non lo sai.
Non da questo modulo. Ha un solo campo Common Name e nessun posto per elencare i Subject Alternative Names. Raramente è un problema, perché la maggior parte delle CA prende gli hostname aggiuntivi dal modulo d’ordine e li inserisce direttamente nell’estensione SAN del certificato. Inserisci il tuo hostname principale come Common Name, poi elenca i nomi aggiuntivi quando effettui l’ordine multi-dominio. Se la tua CA insiste che le voci SAN provengano direttamente dal CSR, crealo fuori da Cerberus, come descritto nell’ultima domanda qui sotto.
No, il campo può essere lasciato vuoto, e Cerberus creerà una chiave non cifrata. Impostarne una è comunque una prassi migliore, poiché protegge il file della chiave nel caso qualcuno lo copi dal server. Lo svantaggio è che Cerberus non conserva la password, quindi se la perdi la chiave diventa inutilizzabile e dovrai generare un nuovo CSR e far reemettere il certificato. Se imposti una password, ricordati di spuntare Needs Key Password nella scheda Security quando installi il certificato.
Seleziona OTHER. Cerberus FTP Server di solito non è offerto come opzione nominata nei moduli d’ordine delle CA, e OTHER restituisce il certificato in formato PEM standard, che è ciò che Cerberus si aspetta. Cerberus legge sia certificati codificati in PEM che in DER, quindi entrambi verranno caricati correttamente, ma PEM è il formato che la maggior parte delle CA fornisce per impostazione predefinita ed è più facile da ispezionare in un editor di testo.
Cerberus non dispone di un client ACME integrato, quindi non esiste emissione o rinnovo automatico all’interno del prodotto. Ogni rinnovo comporta la generazione di un nuovo CSR e il caricamento manuale del certificato reemesso, oppure la creazione di uno script attorno a un client ACME per Windows separato che deposita i file rinnovati dove Cerberus può leggerli. Tienine conto, perché la durata dei certificati si sta riducendo: i certificati emessi a partire dal 15 marzo 2026 saranno limitati a 200 giorni, per poi scendere a 100 giorni a marzo 2027 e a 47 giorni a marzo 2029.
Sì. Un CSR creato con OpenSSL, con IIS, oppure con il nostro CSR Generator funziona altrettanto bene, purché tu conservi la chiave privata corrispondente. Copia il certificato e la chiave sul server Cerberus, quindi imposta Certificate Path e Private Key Path nella scheda Security. Se il certificato e la chiave privata si trovano nello stesso file, indica quello stesso file in entrambi i campi. Una volta che il certificato è attivo, verifica che la catena venga servita correttamente con il nostro SSL Checker, indicando l’hostname e la porta utilizzati dal tuo listener FTPS o HTTPS.
Risparmia il 10% sui certificati SSL ordinando oggi stesso da SSL Dragon!
Emissione rapida, crittografia avanzata, affidabilità del browser al 99,99%, assistenza dedicata e garanzia di rimborso entro 25 giorni. Codice coupon: SAVE10
