Como Gerar um CSR no Cerberus FTP Server

Este tutorial mostra como gerar um CSR no Cerberus FTP Server. O Cerberus retirou a geração de CSR do antigo diálogo do Windows e passou-a para o Server Manager baseado em navegador na versão 13.1 (setembro de 2023), removendo o item de menu nativo na mesma versão. A numeração de versões passou depois para um esquema de calendário, pelo que todas as compilações a partir da 2024.1, incluindo as versões atuais de 2026, utilizam o formulário web descrito abaixo. O produto faz agora parte da Redwood Software e é publicado como Cerberus FTP Server by Redwood, mas as definições aqui abordadas mantêm-se inalteradas.

Gerar um CSR no Cerberus FTP Server

Se já gerou o seu CSR e recebeu o certificado assinado da sua CA, avance diretamente para instalar um certificado SSL no Cerberus FTP Server.

Tem duas opções:

• Utilize o nosso Gerador de CSR para criar o CSR e a chave privada na sua própria máquina e, em seguida, copie ambos os ficheiros para o servidor Cerberus.
• Siga os passos abaixo para criar o CSR dentro do Cerberus, o que mantém a chave privada no servidor que a irá utilizar.

Passo 1: Abrir o formulário de CSR

1. Abra o Server Manager e selecione o separador Security.
2. No painel General, desloque-se até à secção TLS Server Key Pair. Nas compilações mais antigas, esta secção chama-se Server Key Pair.
3. Clique em Create A CSR. A janela Create A Certificate Signing Request é aberta.

Como este formulário está integrado na interface de administração web, pode criar um CSR remotamente, sem precisar de iniciar sessão na consola do servidor. A mesma secção contém o botão Create Self Signed Cert, que produz um certificado apenas para testes internos. Um certificado autoassinado não é confiável para os clientes, pelo que, se pretende que os seus utilizadores de FTPS e HTTPS se liguem sem avisos, precisa de seguir a via do CSR e obter um certificado assinado por uma CA pública.

Passo 2: Preencher os detalhes do certificado

O formulário solicita o seguinte, por esta ordem. Todos os campos, exceto Contact Email, exigem um valor.

• Common Name: o nome de domínio totalmente qualificado (FQDN) que os clientes utilizam para aceder ao servidor, por exemplo ftp.oseusite.com. Num servidor FTP, este nome de anfitrião nem sempre coincide com o do seu website, por isso utilize o nome ao qual os seus utilizadores FTPS e web realmente se ligam. Para um certificado wildcard, coloque um asterisco antes do domínio, como em *.oseusite.com.
• State/Province: o nome completo do estado ou província onde a sua organização está registada, por exemplo California. Não abrevie.
• Organization: o nome legal completo da sua empresa, por exemplo Your Company LLC. Para um certificado pessoal ou validado por domínio, introduza o nome em nome do qual o domínio está registado.
• Organization Unit: o antigo campo de departamento. O CA/Browser Forum eliminou-o em setembro de 2022 e já não é permitido em certificados TLS publicamente confiáveis, pelo que a CA irá descartar o que aí escrever. O Cerberus continua a exigir um valor, por isso introduza algo neutro, como IT ou NA.
• Locality (City): o nome completo da cidade, por exemplo San Francisco.
• Contact Email: o único campo desta lista que pode deixar em branco. Não tem qualquer efeito na emissão, uma vez que a CA o contacta através dos dados fornecidos na sua encomenda, e não através do CSR.
• 2-Digit Country Code: o código ISO 3166-1 de duas letras do seu país, digitado numa caixa de texto em vez de escolhido numa lista, por exemplo US, GB ou CA.

Preencha estes campos com cuidado, mas sem se preocupar excessivamente com eles. A CA constrói o assunto do certificado a partir dos seus próprios registos de validação, e não a partir do seu CSR. Num certificado validado por domínio, nenhum dos valores de organização, localidade ou estado aparece de todo no certificado emitido. Num certificado validado por organização ou de validação estendida, esses valores aparecem, mas apenas depois de a CA os confirmar face a registos oficiais, pelo que um erro de digitação aqui é corrigido durante a validação, em vez de ficar gravado no certificado.

Passo 3: Escolher o tipo de chave, o comprimento e o algoritmo de assinatura

Estas três listas pendentes determinam que tipo de par de chaves o Cerberus cria. É nesta parte do formulário que uma escolha errada gera um CSR que nenhuma CA pública consegue assinar, por isso vale a pena dedicar um momento à sua análise.

• Key Type: o Cerberus oferece RSA, DSA, ECDSA, EdDSA 25519 e EdDSA 448. Apenas RSA e ECDSA são permitidos em certificados TLS publicamente confiáveis, ao abrigo dos Baseline Requirements do CA/Browser Forum. Um CSR construído com DSA, EdDSA 25519 ou EdDSA 448 será rejeitado por todas as CAs públicas, por isso escolha uma das duas primeiras opções. O RSA é a escolha segura por defeito e a mais amplamente suportada das duas; opte pelo ECDSA apenas se souber que os clientes que se ligam ao seu servidor o suportam.
• Key Length: as opções variam consoante o tipo de chave. Para RSA, 2048 é o valor por defeito e o mínimo que uma CA pública irá aceitar; passe para 3072 ou 4096 apenas se a sua política de segurança o exigir, tendo em conta que chaves RSA maiores custam mais tempo de handshake num servidor de transferências movimentado. Para ECDSA, mantenha-se nas curvas NIST P-256, P-384 ou P-521, já que nenhuma outra curva é permitida.
• Signing Algorithm: mantenha esta opção em sha256. O Cerberus assinala as opções mais antigas com (Legacy), e algumas CAs rejeitam um CSR autoassinado com SHA-1. Esta definição assina o próprio CSR e não influencia o algoritmo que a CA utiliza para assinar o seu certificado, pelo que não há nenhuma vantagem em alterá-la.

Passo 4: Definir a palavra-passe da chave privada e a opção de transferência

• Private Password: opcional, mas recomendado, uma vez que encripta o ficheiro da chave privada em repouso. O Cerberus não guarda esta palavra-passe em lado nenhum, e não pode ser recuperada. Registe-a no seu gestor de palavras-passe antes de continuar, porque lhe será pedida quando carregar o certificado emitido e marcar a opção Needs Key Password no separador Security.
• Download the CSR after creation: marque esta opção para obter uma cópia do CSR na pasta de transferências do seu navegador. Apenas o CSR é transferido. A chave privada nunca é enviada para o navegador.

Quer marque ou não esta opção, o Cerberus grava sempre ambos os ficheiros na pasta de certificados do servidor, por defeito C:ProgramDataCerberus LLCCerberus FTP Servercertificates. O formulário mostra o caminho exato que irá utilizar. Note que a pasta ainda mantém o nome Cerberus LLC, anterior à aquisição, o que está correto mesmo com o produto a ser agora distribuído sob a Redwood.

Passo 5: Criar o CSR e enviá-lo à sua CA

Reveja os detalhes mais uma vez e, em seguida, clique em Create. Ao contrário do antigo assistente de ambiente de trabalho, não aparece nenhum seletor de pasta no formulário web. O Cerberus grava de imediato o CSR e a chave privada correspondente na pasta de certificados, e transfere o CSR caso tenha pedido essa opção.

Abra o ficheiro CSR com um editor de texto qualquer, como o Bloco de Notas, e copie tudo, incluindo a primeira e a última linha:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Cole esse texto na caixa de CSR do formulário de encomenda do seu fornecedor de SSL. Quando o formulário perguntar qual o software de servidor que utiliza, escolha OTHER, uma vez que o Cerberus raramente é apresentado pelo nome. Antes de submeter, passe o texto pelo nosso Descodificador de CSR para confirmar que o Common Name, o tipo de chave e o tamanho da chave saíram como pretendia. Detetar um erro nesta fase demora um minuto; detetá-lo depois da emissão implica uma reemissão.

Deixe a chave privada onde o Cerberus a colocou. Ela nunca é enviada para a CA, tem de permanecer no servidor, e será a chave que irá indicar ao Cerberus, juntamente com a respetiva palavra-passe, quando o certificado assinado chegar. Faça também uma cópia de segurança num local seguro, seguindo as nossas orientações sobre armazenamento da chave privada. Se a chave for perdida, o certificado emitido torna-se inútil e terá de começar de novo com um novo CSR.

Gerar um CSR no Cerberus 13.0 e versões anteriores

Nas compilações anteriores à 13.1, a ferramenta de CSR é um diálogo nativo, e não um formulário web. Abra o menu Tools na interface de ambiente de trabalho do Cerberus e selecione Generate a CSR. O antigo diálogo, intitulado Generate a Certificate Signing Request, solicita praticamente os mesmos dados de identidade, com duas diferenças a assinalar: tem um campo adicional opcional, Street, para o endereço da sua organização, e escolhe o país a partir de uma lista pendente, em vez de pedir um código de duas letras. Oferece também apenas Key Type e Key Length, sem definição de algoritmo de assinatura. Clique em Generate e surge um seletor de pasta para escolher onde os ficheiros da chave privada e do CSR são gravados. Este item de menu não está disponível na consola de administração baseada em navegador, e foi completamente removido na versão 13.1.

Se ainda estiver numa dessas versões, planeie uma atualização em vez de contornar o antigo diálogo. A linha 13.x terminou com a 13.2.1 em dezembro de 2023, pelo que as correções de segurança passam agora apenas para as versões com numeração de calendário, que são também as compilações com a escolha mais ampla de tipos de chave e um formulário de CSR acessível remotamente.

Perguntas Frequentes