Como Gerar um CSR no PRTG Network Monitor

Este guia mostra como gerar um CSR (Certificate Signing Request) para o PRTG Network Monitor no Windows. O PRTG (linha atual de 2026: versão 26.x) não possui uma ferramenta de CSR integrada, portanto você cria a solicitação e a chave privada correspondente no servidor central do PRTG (ou em qualquer estação de trabalho Windows) com o OpenSSL, e depois envia a solicitação à sua Autoridade Certificadora. Quando a CA retornar o certificado emitido, você importa três arquivos com nomes exatos para a pasta cert do PRTG durante a instalação.

Antes de começar, decida onde executar o OpenSSL. O CSR é portátil, então qualquer máquina funciona. Executá-lo no próprio servidor central do PRTG é conveniente porque a chave privada resultante nunca precisa ser movida entre hosts.

Gere um CSR para o PRTG Network Monitor com OpenSSL

Se você já gerou o seu CSR em outro lugar e só precisa instalar o certificado emitido, vá diretamente para como instalar um certificado SSL no PRTG Network Monitor.

Passo 1: Instale o OpenSSL para Windows

O Windows não vem com o OpenSSL incluído. Baixe o instalador Win64 OpenSSL Light em Shining Light Productions, a versão mais amplamente utilizada pela comunidade. O pacote Light contém apenas os binários de linha de comando, que é tudo o que você precisa para criar um CSR. Se o instalador solicitar um Microsoft Visual C++ Redistributable, instale-o primeiro pela Microsoft.

Aceite o caminho de instalação padrão (C:Program FilesOpenSSL-Win64) e coloque os binários do OpenSSL na pasta bin do Windows quando solicitado. Em hosts de 32 bits, escolha a versão Win32 e instale em C:Program Files (x86)OpenSSL-Win32. Se preferir não instalar nada, você também pode executar o OpenSSL dentro do WSL ou a partir do Git for Windows, ambos com o binário incluído.

Passo 2: Abra um Prompt de Comando na pasta bin do OpenSSL

Pressione Win + R, digite cmd e pressione Enter para abrir um Prompt de Comando. Depois, mude para o diretório bin do OpenSSL:

cd "C:Program FilesOpenSSL-Win64bin"

As aspas ao redor do caminho são importantes porque Program Files contém um espaço. Em instalações de 32 bits, use C:Program Files (x86)OpenSSL-Win32bin.

Passo 3: Execute o comando OpenSSL para gerar o CSR e a chave privada

Execute o seguinte comando. Ele cria uma chave privada RSA de 2048 bits e um CSR PKCS #10 com SHA-256 na pasta atual, nomeados para corresponder aos nomes de arquivo que o próprio PRTG esperará mais tarde (prtg.key para a chave, prtg.csr para a solicitação):

openssl req -new -newkey rsa:2048 -nodes -sha256 -keyout prtg.key -out prtg.csr

O que cada opção faz:

• -new: cria uma nova solicitação.
• -newkey rsa:2048: gera uma nova chave privada RSA de 2048 bits junto com a solicitação. Este é o mínimo atual aceito por todas as CAs públicas; escolha rsa:3072 ou rsa:4096 se a sua política exigir uma chave maior.
• -nodes: não criptografa a chave privada com uma senha. O PRTG precisa de uma chave não criptografada em tempo de execução; usar -nodes aqui evita uma etapa de descriptografia mais tarde.
• -sha256: assina a solicitação com SHA-256. O OpenSSL moderno usa SHA-256 por padrão, mas especificá-lo explicitamente não faz mal e protege contra versões mais antigas que ainda utilizam SHA-1 por padrão.
• -keyout prtg.key e -out prtg.csr: grava a chave e o CSR com esses nomes de arquivo na pasta atual.

Por que nomeá-los prtg.key / prtg.csr agora? Quando você instalar o certificado emitido, o PRTG só lê três arquivos da sua pasta cert, cada um com um nome exato: prtg.crt (certificado do servidor), prtg.key (chave privada) e root.pem (cadeia do emissor). Nomear a chave como prtg.key já no momento da geração significa uma renomeação a menos mais tarde.

Passo 4: Preencha as solicitações do Nome Distinto (Distinguished Name)

O OpenSSL solicita os detalhes do sujeito que vão no CSR. Use apenas caracteres ASCII padrão; letras não latinas invalidam a solicitação. Os exemplos abaixo são apenas ilustrativos; substitua pelos seus próprios valores:

• Country Name (2 letter code): o código de país ISO de duas letras, por exemplo US, GB, DE.
• State or Province Name (full name): o nome completo do estado ou província, por exemplo Florida (não FL).
• Locality Name (eg, city): a cidade onde a sua organização está registrada, escrita por completo, por exemplo Orlando.
• Organization Name (eg, company): o nome legal completo da sua empresa, exatamente como registrado. Obrigatório para certificados OV e EV. Para certificados de Validação de Domínio (DV), este campo é ignorado.
• Organizational Unit Name (eg, section): um rótulo de departamento, como TI ou Operações de Rede. O CA/Browser Forum tem eliminado gradualmente este atributo para certificados públicos, então deixe-o mínimo ou pressione Enter para pular.
• Common Name (eg, FQDN): o nome de domínio totalmente qualificado que os clientes usam para acessar a interface web do PRTG, por exemplo prtg.example.com. Para um certificado curinga (wildcard), use *.example.com.
• Email Address: um endereço de contato válido para a solicitação de certificado. Deixe em branco se a sua CA não exigir.
• A challenge password e An optional company name: pressione Enter para deixar ambos em branco. São atributos legados que as CAs públicas ignoram.

Quando o comando terminar, você terá dois arquivos na sua pasta de trabalho:

• prtg.key: a sua chave privada RSA não criptografada. Mantenha-a apenas no servidor do PRTG e nunca a compartilhe ou envie para nenhum lugar.
• prtg.csr: o Certificate Signing Request que você envia à sua CA.

Uma observação sobre Subject Alternative Names (SAN)

As solicitações interativas acima coletam apenas o Common Name. Navegadores e clientes TLS modernos validam o nome do host em relação à extensão Subject Alternative Name e ignoram o Common Name para decisões de confiança. As CAs públicas contornam isso copiando o CN para uma entrada SAN em pedidos de nome único, portanto um CSR de nome de host único criado desta forma ainda funciona.

Se você precisar de mais de um nome de host no mesmo certificado (por exemplo prtg.example.com e monitor.example.com, ou um certificado multi-domínio), o fluxo interativo não consegue codificá-los. Três opções:

• No OpenSSL 1.1.1 ou mais recente, adicione os nomes diretamente com -addext. Acrescente -addext "subjectAltName = DNS:prtg.example.com, DNS:monitor.example.com" ao comando openssl req acima — sem necessidade de arquivo de configuração.
• Adicione um pequeno arquivo de configuração do OpenSSL que liste as entradas SAN, e depois aponte o openssl req para ele com -config e -extensions v3_req. A configuração define subjectAltName em uma seção [v3_req], por exemplo subjectAltName = DNS:prtg.example.com, DNS:monitor.example.com.
• Gere o CSR fora do servidor com o nosso Gerador de CSR, que cria uma solicitação com suporte a SAN a partir de um único formulário.

Verifique o CSR antes de enviá-lo

Vale a pena confirmar o Common Name, o tamanho da chave e o algoritmo de assinatura antes de enviar a solicitação à sua CA. No mesmo prompt do OpenSSL:

openssl req -noout -text -in prtg.csr

Você deverá ver a linha de assunto que digitou, uma chave pública RSA de 2048 bits e Signature Algorithm: sha256WithRSAEncryption. Para verificar online, cole o conteúdo do CSR no nosso Decodificador de CSR e leia de volta os mesmos campos.

Copie o CSR e envie-o à CA

Abra o arquivo prtg.csr no Bloco de Notas (ou em qualquer editor de texto). Você verá um bloco que começa com cinco hífens, as palavras BEGIN CERTIFICATE REQUEST, mais cinco hífens, depois texto em base64, e por fim uma linha END correspondente:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2TCCAcECAQAwgZMxCzAJBgNVBAYTAlVTMRAwDgYDVQQIDAdGbG9yaWRhMRAw
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Selecione o bloco inteiro (incluindo as linhas BEGIN CERTIFICATE REQUEST e END CERTIFICATE REQUEST, os cinco hífens de cada lado, e todas as linhas entre eles), copie-o e cole-o no campo CSR no formulário de pedido da sua CA.

Quando a CA validar a solicitação e emitir o seu certificado, continue com como instalar um certificado SSL no PRTG Network Monitor. Planeje-se com antecedência para dois pontos específicos que o PRTG exige no momento da instalação: os três arquivos devem ser nomeados exatamente como prtg.crt, prtg.key e root.pem, e os arquivos PEM devem usar terminações de linha do Windows (CRLF), caso contrário o serviço PRTG Core Server se recusará a iniciar.