Come generare un CSR su Sentora

Questa guida ti mostra come generare un CSR (Certificate Signing Request) su Sentora usando OpenSSL. Il pannello di controllo di Sentora non dispone di uno strumento CSR integrato, quindi devi creare la richiesta direttamente sul server, che funziona su Apache e Linux. Un singolo comando produce due file contemporaneamente: una chiave privata che resta sul tuo server e il CSR che invii alla tua Certificate Authority (CA).

Sentora è a sviluppo lento ma non abbandonato; la versione stabile attuale è v2.0.2 (maggio 2024, su PHP 7.4), mantenuta da ex sviluppatori di ZPanel, e il flusso di lavoro con OpenSSL descritto di seguito non è influenzato dalla versione del pannello.

Se hai già generato il tuo CSR e ricevuto il certificato emesso dalla tua CA, passa direttamente a installare il tuo certificato SSL su Sentora. Altrimenti, segui i passaggi seguenti.

Passaggio 1: Accedi al server come root

Apri una sessione SSH verso il server che esegue Sentora e diventa root. La generazione di un CSR non richiede strettamente i privilegi di root, ma ne avrai bisogno per installare OpenSSL nel passaggio successivo se non è già presente:

sudo -i

Passaggio 2: Conferma che OpenSSL sia installato

OpenSSL è incluso in ogni versione attuale di Debian, Ubuntu, CentOS, AlmaLinux e Rocky Linux, quindi è quasi certamente già presente. Controlla la versione:

openssl version

Se il comando restituisce un numero di versione, passa al Passaggio 3. Se non è installato, aggiungilo con il gestore pacchetti della tua distribuzione.

Su Debian o Ubuntu:

apt update && apt install -y openssl

Su CentOS, AlmaLinux o Rocky Linux:

dnf install -y openssl

Sui sistemi più datati in cui dnf non è disponibile, yum install -y openssl funziona allo stesso modo.

Passaggio 3: Genera la chiave privata e il CSR

Esegui il comando seguente da una directory in cui hai permessi di scrittura, ad esempio la home directory. Crea la chiave privata e il CSR in un unico passaggio e include i Subject Alternative Names (SAN) richiesti dai browser e dalle CA moderne:

openssl req -new -newkey rsa:2048 -nodes 
-keyout example.key 
-out example.csr 
-subj "/C=US/ST=New York/L=New York/O=Example LLC/CN=example.com" 
-addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Ecco cosa fa ciascuna parte:

• req -new crea una nuova richiesta di firma del certificato.
• -newkey rsa:2048 genera una nuova chiave privata RSA a 2048 bit. 2048 bit è il minimo attuale per i certificati pubblici; usa rsa:4096 se desideri una chiave più grande.
• -nodes lascia la chiave privata non cifrata (senza passphrase), in modo che Apache possa avviarsi senza richiedere una password. Questa è la sintassi portabile e funziona su ogni build di OpenSSL.
• -keyout example.key scrive la chiave privata. Mantieni questo file privato e non inviarlo mai a nessuno.
• -out example.csr scrive il CSR che invii alla CA.
• -subj compila i campi del soggetto inline, così il comando viene eseguito senza richieste interattive. Imposta CN (Common Name) con il tuo nome di dominio completamente qualificato.
• -addext “subjectAltName=…” aggiunge le voci SAN. Le CA emettono il certificato in base all’elenco SAN, quindi includi ogni hostname che il certificato deve coprire.

Sostituisci ogni segnaposto con i tuoi dati reali:

• example.com: il tuo dominio effettivo, sia nel CN che nell’elenco SAN.
• C, ST, L, O: il tuo codice paese a due lettere (maiuscolo, ad esempio US o GB), stato o provincia, città e ragione sociale dell’organizzazione. Per un certificato con convalida di dominio (DV) questi campi non vengono verificati, ma il comando richiede comunque valori validi.
• example.key e example.csr: qualsiasi nome di file desideri, purché tu rimanga coerente.

OpenSSL moderno firma la richiesta con SHA-256 per impostazione predefinita, che è ciò che le CA richiedono, quindi non è necessario aggiungere un flag di digest separato.

Proteggere un wildcard o sottodomini aggiuntivi

Per aggiungere altri hostname, estendi l’elenco SAN con ulteriori voci DNS: separate da virgole, ad esempio DNS:api.example.com. Per un certificato wildcard, imposta il CN su *.example.com e mantieni il dominio apice nell’elenco SAN. Un wildcard copre esattamente un livello di sottodomini (www.example.com, mail.example.com) ma non il dominio apice nudo (example.com), quindi l’apice deve essere elencato separatamente per essere coperto:

-addext "subjectAltName=DNS:*.example.com,DNS:example.com"

Preferisci una chiave ECDSA?

Le chiavi ECDSA sono più piccole e veloci rispetto a RSA allo stesso livello di sicurezza e sono supportate da tutti i browser attuali. Per generare invece una chiave e un CSR P-256 (prime256v1), sostituisci l’argomento -newkey:

openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -pkeyopt ec_param_enc:named_curve -nodes 
-keyout example.key 
-out example.csr 
-subj "/C=US/ST=New York/L=New York/O=Example LLC/CN=example.com" 
-addext "subjectAltName=DNS:example.com,DNS:www.example.com"

L’opzione ec_param_enc:named_curve mantiene la curva memorizzata per nome, come richiesto da PKIX; senza di essa, alcune build di OpenSSL incorporano i parametri completi della curva e la CA rifiuta la richiesta.

Passaggio 4: Verifica il CSR

Prima di inviare la richiesta, conferma che contenga il dominio e i SAN corretti e che la sua firma sia valida. Questo comando decodifica il CSR e verifica la firma localmente:

openssl req -noout -text -verify -in example.csr

Cerca verify OK nell’output, controlla che la riga Subject mostri il tuo Common Name e conferma che la sezione X509v3 Subject Alternative Name elenchi ogni hostname previsto. Se manca un SAN, rigenera il CSR con il valore -addext corretto. Puoi anche incollare la richiesta nel nostro decodificatore CSR online per verificare questi campi in un browser.

Passaggio 5: Individua e invia il CSR

Elenca la directory di lavoro per confermare che entrambi i file esistano:

ls -l example.key example.csr

Ti trovi su un server Linux, quindi apri il CSR con un visualizzatore da terminale, non con un editor Windows. Stampalo a schermo con:

cat example.csr

Copia l’intero blocco, comprese la prima e l’ultima riga. Un CSR è delimitato dai marcatori CERTIFICATE REQUEST con cinque trattini su ciascun lato, non dai marcatori CERTIFICATE di un certificato emesso:

-----BEGIN CERTIFICATE REQUEST-----
MIIC...base64-encoded data...AB
-----END CERTIFICATE REQUEST-----

Incolla quel blocco nel modulo d’ordine del tuo SSL. Dopo che la CA convalida la richiesta ed emette il tuo certificato, segui la nostra guida su come installare un certificato SSL su Sentora per distribuirlo. Conserva il file example.key sul server: ti serve insieme al certificato emesso per abilitare l’HTTPS, e non devi mai inviarlo alla CA o a chiunque altro.

Se preferisci non usare affatto la riga di comando, puoi creare la richiesta con il nostro Generatore di CSR e incollare il risultato nel tuo ordine.