Come generare un CSR su FileMaker Server

Questo tutorial mostra come generare un CSR su FileMaker Server. FileMaker Server crea la richiesta autonomamente, sia dalla Admin Console che con lo strumento da riga di comando fmsadmin, e scrive due file nella propria cartella CStore: la certificate signing request da inviare alla tua Certificate Authority e la chiave privata corrispondente, che resta sul server.

Una nota sui nomi, perché entrambi sono in uso: il prodotto è sviluppato da Claris International Inc., una controllata Apple, che chiama la piattaforma Claris FileMaker, mentre il componente server mantiene il nome FileMaker Server. I numeri di versione ora seguono l’anno di rilascio, quindi la linea recente è FileMaker Server 2023 (versione 20), 2024 (versione 21), 2025 (versione 22) e FileMaker Server 2026 (versione 26), la release attuale. Le versioni dalla 23 alla 25 sono state saltate per allineare il numero all’anno. Claris mantiene il supporto solo per le release più recenti, quindi se stai usando FileMaker Server 2024 o versioni precedenti, verifica lo stato del supporto prima di acquistare un certificato che gli sopravvivrà.

Prima di iniziare

Alcuni fattori determinano se questa procedura andrà liscia:

• Lavora sulla macchina che esegue FileMaker Server. La chiave privata viene scritta nella cartella CStore di quella macchina e deve restare lì. Anche lo strumento da riga di comando richiede una sessione locale: devi essere connesso al server direttamente o tramite un software di desktop remoto.
• Usa privilegi elevati. Scrivere il file della chiave privata richiede diritti di amministratore. Su Windows, apri il Prompt dei comandi con Esegui come amministratore. Su macOS e Linux, autenticati con sudo. Senza questi privilegi il comando fallisce con un errore di permessi.
• Decidi prima il nome host esatto. Usa il nome di dominio completamente qualificato che i client digitano effettivamente, lo stesso che compare nei tuoi URL WebDirect e Admin Console e nell’indirizzo fmnet che i client FileMaker Pro aprono. Un certificato emesso per un nome che nessuno usa produce comunque un avviso del browser.
• Sappi su quale versione ti trovi. L’Admin Console ha un pulsante Create CSR a partire da FileMaker Server 19. Su FileMaker Server 17 e 18 la riga di comando fmsadmin era l’unico modo per creare una richiesta.

FileMaker Server viene fornito con un certificato predefinito firmato da Claris che non verifica il nome del server. È pensato solo per i test, e l’Admin Console mostra avvisi di sicurezza mentre è in uso, motivo per cui in produzione è necessario un certificato personalizzato rilasciato da una Certificate Authority.

Un’altra cosa da pianificare se gestisci un’installazione multi-macchina: ogni macchina ha bisogno del proprio certificato. Crea una richiesta separata sulla macchina primaria e su ogni macchina secondaria, e importa un certificato su ciascuna di esse.

Genera il CSR su FileMaker Server

Se hai già generato il tuo CSR altrove, salta questa sezione e prosegui con i passaggi di installazione su FileMaker Server una volta emesso il certificato. Altrimenti scegli uno dei due metodi seguenti. Producono la stessa coppia di file, quindi usa quello più adatto al tuo accesso al server.

Metodo 1: creare il CSR nella Admin Console

Questa è la via più breve su FileMaker Server 19 e versioni successive, incluse FileMaker Server 2023, 2024, 2025 e 2026.

1. Accedi alla Admin Console e apri la scheda Configuration > SSL Certificate.
2. Clicca su Create CSR.
3. Compila i campi della richiesta:
   • Domain name: il nome di dominio completamente qualificato del tuo server, ad esempio fms.tuaazienda.com. Per un certificato wildcard, inserisci qui invece il wildcard, ad esempio *.tuaazienda.com.
   • Organization (Company name): la ragione sociale completa della tua azienda, esattamente come registrata.
   • Organization unit: il reparto che richiede il certificato, ad esempio IT. Questo campo conta ormai poco: dal 1° settembre 2022 i Baseline Requirements del CA/Browser Forum vietano alle CA pubbliche di inserire il campo Organizational Unit nei certificati emessi, quindi qualsiasi cosa digiti qui non finirà nel certificato.
   • City: la città in cui si trova il tuo server, scritta per esteso.
   • State or Province: lo stato o la provincia, anch’essi scritti per esteso (Florida, non FL).
   • Country: il codice a due lettere del tuo paese, ad esempio US.
4. Inserisci e conferma una password di crittografia per il file della chiave privata. Annotala. Dovrai digitare la stessa password nel campo Private Key Password quando importerai in seguito il certificato firmato, e non c’è modo di recuperarla dalla chiave.
5. Clicca su Create. FileMaker Server scrive serverRequest.pem e serverKey.pem nella cartella CStore.
6. Clicca su Copy per copiare la richiesta negli appunti, quindi incollala nel campo CSR del modulo d’ordine del tuo certificato.

Metodo 2: creare il CSR con la riga di comando fmsadmin

La riga di comando funziona su ogni versione a partire da FileMaker Server 17, incluse le release attuali. Lo strumento fmsadmin si trova qui:

• Windows: [drive]:Program FilesFileMakerFileMaker ServerDatabase Serverfmsadmin.exe
• macOS: /Library/FileMaker Server/Database Server/bin/fmsadmin
• Linux: /opt/FileMaker/FileMaker Server/Database Server/bin/fmsadmin

Il programma di installazione aggiunge un collegamento simbolico su macOS (/usr/local/bin/fmsadmin) e su Linux (/usr/bin/fmsadmin), quindi lì il comando funziona da qualsiasi directory. Su Windows, se il comando non viene riconosciuto, spostati prima nella cartella Database Server indicata sopra oppure richiama l’eseguibile con il suo percorso completo.

La forma più semplice richiede solo il nome del server:

fmsadmin certificate create fms.yourcompany.com --keyfilepass yourSecretPassphrase

La maggior parte delle Certificate Authority richiede più del solo nome host, quindi indica invece un subject completo. Nota le doppie virgolette: sono obbligatorie non appena un valore contiene uno spazio.

fmsadmin certificate create "/CN=fms.yourcompany.com/O=Your Company LLC/C=US/ST=Florida/L=Miami" --keyfilepass yourSecretPassphrase

Cosa inserire in ciascun attributo:

• CN (Common Name): il nome di dominio completamente qualificato che vuoi proteggere, oppure un wildcard come *.tuaazienda.com.
• O (Organization): la ragione sociale completa della tua azienda.
• C (Country): il codice paese a due lettere, ad esempio US.
• ST (State or Province): il nome completo dello stato o della provincia, non un’abbreviazione.
• L (Locality): il nome completo della città.
• --keyfilepass: la password che crittografa serverKey.pem. La guida integrata di fmsadmin descrive questa opzione come obbligatoria per l’operazione create, e ogni esempio nella documentazione di Claris la include, quindi impostane una e registrala. Ti servirà la stessa password al momento dell’importazione. Poiché la digiti sulla riga di comando, resta visibile a schermo e viene normalmente scritta nella cronologia della shell, quindi cancella quella voce su qualsiasi macchina a cui altre persone possono accedere.

Il subject segue la stessa sintassi dell’argomento -subj del comando req di OpenSSL: non distingue tra maiuscole e minuscole, è formattato come coppie /tipo=valore, e i caratteri speciali all’interno di un valore devono essere preceduti da una barra rovesciata (escape). Per vedere le opzioni esatte supportate dalla tua build, esegui:

fmsadmin help certificate

Dove FileMaker Server salva i file

Entrambi i metodi scrivono gli stessi due file nella cartella CStore:

• serverRequest.pem: la tua certificate signing request. È il file il cui contenuto invii alla CA.
• serverKey.pem: la chiave privata crittografata. Non lascia mai il server e non viene mai inviata alla CA. Chiunque la possieda può impersonare il tuo FileMaker Server, quindi se viene esposta ricomincia da capo con una nuova richiesta e fai riemettere il certificato.

La cartella CStore si trova qui, a seconda del sistema operativo:

• Windows: [drive]:Program FilesFileMakerFileMaker ServerCStore
• macOS: /Library/FileMaker Server/CStore/
• Linux: /opt/FileMaker/FileMaker Server/CStore/

Creare un CSR non modifica il funzionamento del server, quindi a questo punto non serve alcun riavvio. Il riavvio arriva più avanti, dopo l’importazione del certificato firmato. Se devi eliminare una richiesta e ricominciare, rimuovi prima la richiesta e la chiave esistenti:

fmsadmin certificate delete

Fai attenzione con questo comando su un server in produzione: rimuove la richiesta di certificato, la chiave privata ed eventuali certificati personalizzati già installati, e la modifica ha effetto dopo un riavvio. Finché non viene reinstallato un certificato personalizzato, FileMaker Server torna al certificato predefinito di Claris.

Invia il CSR alla tua Certificate Authority

Apri serverRequest.pem in un editor di testo semplice come Blocco note o TextEdit. Vedrai un blocco simile a questo:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEDAOBgNVBAgMB0Zsb3JpZGEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, incluse le righe BEGIN CERTIFICATE REQUEST e END CERTIFICATE REQUEST (ogni marcatore ha cinque trattini su entrambi i lati), e incollalo nel campo CSR del tuo modulo d’ordine. Non aprire il file in un editor di testo che aggiunge formattazione, e non ridigitarlo manualmente.

Prima di effettuare l’ordine, vale la pena rileggere la richiesta. Incollala nel nostro CSR Decoder e verifica che il Common Name corrisponda al nome host usato dai client e che i dettagli dell’organizzazione siano scritti correttamente. Un errore di battitura qui significa che la CA emette un certificato che non puoi usare, e una riemissione ti costa un altro ciclo di convalida. Se hai OpenSSL su una postazione di lavoro, lo stesso controllo si può eseguire localmente:

openssl req -noout -text -verify -in serverRequest.pem

Quando arriva il certificato, lo importi insieme alla chiave privata e al file intermedio (CA bundle), quindi riavvii il Database Server. La nostra guida su come installare un certificato SSL su FileMaker Server copre sia l’Admin Console che l’importazione tramite fmsadmin. Un requisito da tenere presente al momento dell’ordine: il certificato deve essere fornito con codifica Base64 (PEM), e i nomi dei file non devono contenere caratteri non supportati come un asterisco.

Certificati wildcard e multi-dominio (SAN)

FileMaker Server può utilizzare un certificato a dominio singolo, un certificato wildcard o un certificato multi-dominio (SAN) una volta importato. La limitazione riguarda solo gli strumenti di richiesta: l’Admin Console e il comando fmsadmin possono creare una richiesta per un singolo dominio o per un wildcard, ma non per un certificato SAN. Claris documenta questa limitazione per entrambi i metodi, e resta invariata nelle release attuali.

Per un wildcard non serve nulla di speciale: inserisci il wildcard come nome di dominio o Common Name, ad esempio *.tuaazienda.com. Per diversi nomi host distinti hai due opzioni.

Opzione 1, il percorso documentato da Claris: crea una normale richiesta a dominio singolo come sopra, inviala alla tua CA e chiedi che estenda il certificato emesso con i nomi aggiuntivi.

Opzione 2, costruire la richiesta al di fuori di FileMaker Server: genera tu stesso il CSR e la chiave e fornisci la chiave al momento dell’importazione. Questo è esplicitamente supportato: la schermata di importazione dell’Admin Console indica di selezionare la chiave privata ottenuta con qualsiasi metodo tu abbia usato, e la riga di comando ha un’opzione --keyfile proprio per questo caso. Il nostro CSR Generator crea una richiesta SAN da un unico modulo, oppure puoi usare OpenSSL su qualsiasi macchina:

openssl req -new -newkey rsa:2048 -nodes 
-keyout fms.key 
-out fms.csr 
-subj "/CN=fms.yourcompany.com/O=Your Company LLC/C=US/ST=Florida/L=Miami" 
-addext "subjectAltName=DNS:fms.yourcompany.com,DNS:db.yourcompany.com"

Ripeti il Common Name all’interno dell’elenco SAN, come mostrato, perché i client convalidano i nomi host confrontandoli con le voci SAN e ignorano il Common Name. Conserva fms.key in un punto raggiungibile sfogliando dalla Admin Console; non è necessario copiarla manualmente nella cartella CStore. Poiché -nodes lascia la chiave non crittografata, lascia vuoto il campo Private Key Password al momento dell’importazione.

Quando non serve affatto un CSR

FileMaker Server può richiedere autonomamente un certificato gratuito Let’s Encrypt, senza CSR e senza importazione manuale, ma solo sulle release recenti. In FileMaker Server 2025 (versione 22) e successive, se ne occupa la Admin Console: apri Configuration > SSL Certificate, clicca su Request Let’s Encrypt Certificate, inserisci il tuo nome di dominio completamente qualificato e, facoltativamente, attiva Automatically Renew Certificate. Test Validation verifica se FileMaker Server è raggiungibile pubblicamente con quel nome, il che indica se una richiesta andrebbe a buon fine.

Le release più vecchie non sono equivalenti, quindi verifica la tua versione prima di cercare quel pulsante. FileMaker Server 2024 (versione 21.0.1) è stata la prima release con qualcosa di integrato, ed è disponibile solo da riga di comando: una coppia di script shell di richiesta e rinnovo nella cartella Tools/Lets_Encrypt dell’installazione di FileMaker Server, che richiedono anche di installare Certbot autonomamente. Leggi il README accanto a quegli script per i nomi file esatti e i prerequisiti, poiché i nomi differiscono tra le release del 2024. FileMaker Server 19 e FileMaker Server 2023 (versione 20) non hanno alcun supporto integrato per Let’s Encrypt, quindi su quelle release il percorso tramite CSR sopra descritto è l’unica via.

Due condizioni determinano se questa è un’opzione praticabile: il dominio deve essere raggiungibile pubblicamente sulla porta 80 durante la convalida HTTP, e i wildcard non sono supportati. I server non esposti a Internet, e chiunque abbia bisogno di un wildcard, di una Organization Validation, di una Extended Validation o di una durata più lunga, deve percorrere la strada del CSR descritta sopra.

FileMaker Server 15 e 16 (legacy)

Queste release sono da tempo fuori supporto e non ricevono aggiornamenti di sicurezza, quindi considera questa procedura come una soluzione temporanea e pianifica un aggiornamento. Su FileMaker Server 15 e 16 la Admin Console crea la richiesta da un punto diverso: apri la scheda Database Server > Security e clicca su Create Request. Compila Domain name (anche qui è accettato un wildcard come *.tuaazienda.com), Company name, Organization, City, State or Province e Country, quindi inserisci e conferma una password di crittografia per la chiave privata e clicca su Create.

È la console, non la riga di comando, a scrivere serverRequest.pem e serverKey.pem nella cartella CStore, e copi il contenuto di serverRequest.pem nel modulo d’ordine esattamente come descritto sopra. Anche qui si applica la limitazione sui certificati SAN.

Domande frequenti