Come generare una CSR in DirectAdmin

Questa guida ti mostra come generare un CSR (Certificate Signing Request) in DirectAdmin. Il CSR è il blocco di testo codificato che invii alla tua Certificate Authority. Contiene i dettagli del tuo dominio e della tua identità, e DirectAdmin lo abbina a una chiave privata che conserva sul server. Creerai il CSR dal livello User del pannello di controllo e otterrai due elementi: il testo del CSR da copiare nel tuo ordine, e una chiave privata corrispondente che DirectAdmin conserva su disco per la fase di installazione.

I passaggi riportati di seguito coprono l’attuale skin DirectAdmin Evolution (l’impostazione predefinita nelle nuove installazioni) e indicano il percorso equivalente sulla vecchia skin Enhanced. Trattano anche il limite del SAN nel modulo integrato nel pannello e l’alternativa gratuita Let’s Encrypt disponibile nella stessa schermata.

Genera il CSR in DirectAdmin

Se hai già generato il tuo CSR (ad esempio con il nostro CSR Generator), passa direttamente a come installare un certificato SSL su DirectAdmin. Altrimenti segui i sette passaggi qui sotto.

Passaggio 1: Accedi al livello User

I certificati SSL in DirectAdmin vengono gestiti per dominio al livello User. Se accedi come Admin o Reseller, passa prima all’utente corretto usando il selettore di livello nel menu superiore. Se l’account gestisce più di un dominio, scegli il dominio che vuoi proteggere prima di aprire la schermata SSL.

Passaggio 2: Apri la pagina SSL Certificates

• Skin Evolution (attuale predefinita): nel menu a sinistra, apri Account Manager e clicca su SSL Certificates.
• Skin Enhanced (legacy): apri Advanced Features e clicca su SSL Certificates.

Passaggio 3: Scegli Create a Certificate Request

La pagina SSL Certificates mostra un elenco di opzioni con pulsanti radio. Seleziona Create A Certificate Request. Questo è il modulo CSR integrato nel pannello e il nome dell’opzione è lo stesso su ogni skin.

Passaggio 4: Compila i campi del CSR

Inserisci i dettagli sottostanti. Usa solo caratteri ASCII semplici: le lettere non latine causano il rifiuto della richiesta presso la maggior parte delle CA.

• Key Size: seleziona 2048 bit. È il minimo attuale accettato da tutte le CA pubbliche. Scegli 3072 o 4096 solo se la tua policy di sicurezza lo richiede. Il compromesso è un handshake TLS leggermente più lento.
• Common Name (CN): il nome di dominio completo (FQDN) che vuoi proteggere, ad esempio www.example.com. Per un certificato wildcard, anteponi un asterisco al dominio principale, ad esempio *.example.com. Un wildcard copre un livello di sottodomini (shop.example.com, mail.example.com), non il dominio principale né livelli più profondi come a.b.example.com.
• Email: un indirizzo di contatto sul dominio o la tua casella amministrativa. La maggior parte delle CA ignora questo campo, ma DirectAdmin richiede un valore.
• Country: il codice paese ISO a due lettere (ad esempio US, GB, DE).
• State: il nome completo dello stato o della provincia (ad esempio California, non CA).
• City: il nome completo della città (ad esempio Los Angeles, non LA).
• Company: la denominazione legale completa dell’organizzazione, esattamente come registrata (ad esempio Example Inc). Obbligatorio per i certificati Organization Validation (OV) ed Extended Validation (EV). Per Domain Validation (DV), la CA lo ignora, quindi va bene qualsiasi valore segnaposto breve.
• Division (Organizational Unit): un’etichetta di reparto come IT. Questo attributo è stato deprecato dal CA/Browser Forum per i certificati pubblici, quindi lasciarlo minimo o vuoto.
• Subject Alternative Names (SAN): se il modulo della tua versione mostra un campo SAN, aggiungi qui ogni hostname aggiuntivo, uno per riga (ad esempio example.com oltre a www.example.com). Se il campo non è presente, consulta la sezione Limite del SAN qui sotto.

Passaggio 5: Salva e copia il CSR

Controlla attentamente ogni campo, quindi clicca su Save. DirectAdmin genera la chiave privata e il CSR corrispondente e mostra il CSR in un’area di testo nella stessa pagina (nelle versioni recenti di Evolution si apre in una finestra di dialogo Certificate Request con un pulsante Copy to Clipboard).

Il CSR è un blocco base64 simile a questo:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, incluse le righe BEGIN CERTIFICATE REQUEST e END CERTIFICATE REQUEST, e incollalo nel campo CSR del modulo d’ordine della tua CA. Le righe di trattini iniziali e finali devono usare esattamente cinque trattini ASCII per lato.

Passaggio 6: Verifica dove DirectAdmin ha salvato la chiave privata

Non è necessario estrarre manualmente la chiave privata: DirectAdmin la salva su disco e la precompila nel modulo di installazione SSL per lo stesso dominio. Se vuoi una copia per backup o uso fuori dal server, puoi scaricarla dalla stessa pagina (il modulo la conserva nella casella di testo inferiore) oppure leggerla dal disco via SSH:

/usr/local/directadmin/data/users/<user>/domains/<domain>.key

dove <user> è il nome utente DirectAdmin e <domain> è il dominio (ad esempio example.com.key). I file corrispondenti sono <domain>.cert (il certificato emesso, scritto durante l’installazione) e <domain>.cacert (la catena referenziata dalla direttiva SSLCACertificateFile di Apache; alcune versioni di DirectAdmin espongono lo stesso contenuto anche come <domain>.ca). Tratta il file della chiave come un segreto: mantieni i suoi permessi ristretti e non incollarlo mai nel campo CSR, in un ticket, o in qualsiasi luogo pubblico. Se salvi una copia fuori dal server, conservala come nota sicura in un password manager o in un vault per segreti, non come file sciolto su una workstation.

Passaggio 7: Verifica il CSR prima di inviarlo

Vale la pena controllare che il Common Name, le voci SAN e la dimensione della chiave siano quelli attesi prima di spendere un ciclo di validazione. Incolla il CSR nel CSR Decoder di SSL Dragon e conferma che il CN corrisponda all’hostname usato dai tuoi visitatori, che eventuali nomi aggiuntivi compaiano sotto Subject Alternative Name, e che la dimensione della chiave sia almeno 2048 bit.

Una volta che la CA valida il tuo ordine e invia via email i file del certificato, prosegui con come installare un certificato SSL su DirectAdmin.

Limite del SAN nel modulo integrato nel pannello

I browser e le librerie TLS moderne (Chromium, Firefox, Safari, Java, Go, .NET) controllano l’hostname rispetto all’estensione Subject Alternative Name, non al Common Name. Le CA pubbliche aggirano il problema copiando automaticamente il CN in una voce SAN per gli ordini con un singolo nome, quindi una richiesta con solo il CN viene comunque emessa per un hostname. Tuttavia:

• Se hai bisogno di un certificato che copra sia example.com che www.example.com insieme, o di qualsiasi certificato multi-dominio, il modulo con solo il CN non può codificarli.
• Alcune versioni di DirectAdmin mostrano nel modulo un campo dedicato Subject Alternative Names. Se la tua ce l’ha, usalo.

Se il modulo del pannello non ti permette di aggiungere SAN e il tuo ordine richiede più di un hostname, genera il CSR fuori dal server con il nostro CSR Generator, salva la chiave privata generata e incolla entrambi nella pagina di installazione di DirectAdmin quando arriva il certificato. Il tutorial di installazione DirectAdmin illustra questo percorso passo dopo passo.

In alternativa, puoi creare il CSR via SSH con OpenSSL e un piccolo file di configurazione che elenca ogni SAN:

openssl req -new -newkey rsa:2048 -nodes 
  -keyout example.com.key 
  -out example.com.csr 
  -subj "/C=US/ST=California/L=Los Angeles/O=Example Inc/CN=www.example.com" 
  -addext "subjectAltName = DNS:www.example.com, DNS:example.com"

Poi incolla il file .key e il certificato emesso nell’opzione DirectAdmin Paste a pre-generated certificate and key nella stessa pagina SSL Certificates.

Opzione gratuita: Let’s Encrypt e ACME in DirectAdmin

Se non hai bisogno di un certificato commerciale, DirectAdmin può emetterne uno gratuito senza alcun CSR. Nella stessa pagina SSL Certificates, seleziona Free & automatic certificate from Let’s Encrypt (nelle versioni più recenti di Evolution l’opzione è denominata Get automatic certificate from ACME Provider e offre sia Let’s Encrypt che ZeroSSL come provider). Scegli il dominio e gli eventuali sottodomini che vuoi coprire, seleziona Wildcard se ti serve ogni sottodominio, quindi clicca su Save.

I certificati Let’s Encrypt e ZeroSSL sono validi per circa 90 giorni e DirectAdmin li rinnova automaticamente quando il certificato supera il numero di giorni impostato in letsencrypt_renewal_days, che di default è 60. Questo corrisponde a circa 30 giorni prima della scadenza, quindi un rinnovo fallito lascia comunque un mese di tentativi. Le versioni più vecchie di DirectAdmin usavano come predefinito 85, il che lasciava quasi nessun margine. In entrambi i casi, non c’è alcun CSR da copiare né alcun certificato da reinstallare. Usano la stessa crittografia di un certificato a pagamento. Un certificato commerciale ha ancora senso quando serve la Organization o Extended Validation, una durata fissa più lunga, una garanzia, o il supporto del fornitore legato all’identità del tuo dominio.