Come generare un CSR su SurgeMail (Netwin Mail Server)

Questo tutorial mostra come generare un CSR (Certificate Signing Request) su SurgeMail, il server di posta Netwin che esegue SMTP, IMAP, POP3 e webmail da un unico demone. Il CSR viene generato all’interno del SurgeMail Web Admin anziché dalla shell. In un solo passaggio, SurgeMail crea la richiesta, la chiave privata corrispondente e un certificato temporaneo non attendibile, in modo che la chiave privata non lasci mai il server e si abbini al certificato firmato dalla CA che installerai in seguito.

I passaggi seguenti corrispondono all’attuale linea SurgeMail 8.x (la serie 8.1, 2026) su Windows, Linux e macOS. Il layout del Web Admin è rimasto stabile per molte release, quindi le installazioni 7.x seguono lo stesso flusso.

Generare un CSR su SurgeMail

Se hai già generato il tuo CSR e ricevuto i file SSL dalla tua Certificate Authority, salta questa parte e vai direttamente a installare il certificato SSL su SurgeMail.

Un CSR è un blocco di testo codificato che contiene i dettagli della tua organizzazione e la chiave pubblica che si abbina alla chiave privata conservata sul server. La Certificate Authority (CA) legge il CSR per verificare le tue informazioni prima di emettere il certificato.

Nota: hai bisogno di un CSR solo quando acquisti un certificato da una CA commerciale (Domain, Organization o Extended Validation, un wildcard o una copertura pluriennale). Se ti basta un certificato gratuito a rinnovo automatico, SurgeMail può ottenerne uno da Let’s Encrypt automaticamente tramite il suo supporto ACME integrato (versione 7.3j2 e successive), senza dover generare o incollare alcun CSR. Il flusso manuale del CSR descritto qui sotto è il percorso corretto per un certificato commerciale.

Passaggio 1: apri la pagina SSL Certificates nel Web Admin

Accedi al SurgeMail Web Admin nel tuo browser come amministratore. Apri la pagina Globals, quindi fai clic su SSL Certificates Configure. Questa pagina elenca ogni certificato e richiesta conosciuti da SurgeMail, ed è qui che crei una nuova richiesta, importi un certificato firmato o imposti un certificato per singolo dominio.

Passaggio 2: avvia un nuovo CSR

Fai clic sul pulsante New CSR. SurgeMail genera tre elementi contemporaneamente: il CSR stesso, la chiave privata corrispondente (che rimane sul server) e un certificato temporaneo non attendibile che mantiene attivi i servizi TLS finché non installi il certificato firmato dalla CA. Poiché la chiave viene creata e conservata su questo server, il certificato firmato può essere installato solo sulla stessa istanza SurgeMail che ha prodotto la richiesta.

Passaggio 3: compila i dettagli del certificato

Inserisci i dettagli dell’organizzazione e dell’host di posta a cui verrà rilasciato il certificato. Usa solo caratteri ASCII semplici; lettere accentate o virgolette tipografiche incollate da un elaboratore di testi possono compromettere la richiesta. Compila il modulo come segue:

• Common Name: il nome di dominio completo (FQDN) che i client utilizzano per raggiungere il server, ad esempio mail.tuodominio.com. Questo è il campo più importante e deve corrispondere all’hostname a cui si collegano i client di posta e webmail.
• Organization: la ragione sociale completa della tua azienda, ad esempio Tua Azienda S.r.l.. La CA verifica questo campo per i certificati Organization Validation (OV) ed Extended Validation (EV).
• Organizational Unit: lascia questo campo vuoto. Il CA/Browser Forum ha deprecato questo attributo, e la maggior parte delle CA lo rimuove dal certificato emesso.
• City/Locality: la città in cui è registrata la tua organizzazione, scritta per esteso (ad esempio Los Angeles, non LA).
• State/Province: il nome completo dello stato o della provincia, non un’abbreviazione (ad esempio California, non CA).
• Country: il codice ISO a due lettere del tuo paese (ad esempio US o GB).

Passaggio 4: copia il CSR e ordina il tuo certificato

Salva il modulo, quindi apri il CSR e copialo interamente, comprese le righe delimitatrici. Ogni delimitatore utilizza esattamente cinque trattini su ciascun lato, senza spazi:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
FDASBgNVBAcMC0xvcyBBbmdlbGVzMRUwEwYDVQQKDAxZb3VyIENvbXBhbnkx
... (many lines of Base64) ...
-----END CERTIFICATE REQUEST-----

Incolla l’intero blocco nel campo CSR del modulo d’ordine del tuo certificato SSL. Una riga delimitatrice danneggiata (trattini curvi al posto dei trattini normali, trattini mancanti o spazi indesiderati) è un motivo comune per cui una CA rifiuta una richiesta, quindi conferma che le righe -----BEGIN CERTIFICATE REQUEST----- e -----END CERTIFICATE REQUEST----- siano rimaste intatte dopo la copia. La CA convalida la richiesta ed emette il tuo certificato, che poi installerai tramite SSL Certificates Configure sullo stesso server.

Facoltativo: controlla il CSR prima di inviarlo

Prima di incollare il CSR nel modulo d’ordine, conviene verificare che i dettagli siano corretti. Incolla la richiesta nello strumento Decode CSR di SSL Dragon per rileggere ogni campo. Se il Common Name, l’organizzazione o il paese risultano errati, genera un nuovo CSR nel Web Admin e invia quello al posto del precedente, poiché il certificato viene emesso esattamente come descritto dal CSR.