Descodificador de CSR

Cole uma Certificate Signing Request abaixo e este decodificador de CSR mostrará o que realmente está contido nela: o Common Name e o restante do Distinguished Name, a chave pública e seu tamanho, o algoritmo de assinatura e todos os Subject Alternative Names abrangidos pela solicitação.

Ler esses campos leva alguns segundos. Ignorá-los custa uma reemissão. Uma Autoridade Certificadora assinará com prazer uma CSR com um domínio digitado incorretamente, e você só descobre isso quando os navegadores começam a exibir erros de incompatibilidade de nome em um certificado que você já pagou e instalou.

Decodifique seu Arquivo CSR

Cole o texto completo da sua CSR na caixa, incluindo as linhas de cabeçalho e rodapé:

Uma CSR válida começa com —–BEGIN CERTIFICATE REQUEST—– e termina com —–END CERTIFICATE REQUEST—–.

Servidores Windows rodando IIS escrevem a linha inicial como —–BEGIN NEW CERTIFICATE REQUEST—–. Ambas as formas funcionam aqui. O arquivo pode chegar com a extensão .csr, .pem ou .txt; apenas o texto contido nele importa. Este decodificador de CSR online gratuito lê PEM, o formato Base64 que praticamente todo servidor e painel de hospedagem produz.

Ainda não tem uma CSR? Gere uma com nosso gerador de CSR, ou siga o guia de CSR para sua plataforma.

O que o decodificador de CSR mostra

Toda CSR carrega duas coisas que uma Autoridade Certificadora precisa: quem você diz ser e a chave pública que deseja certificar. A metade referente à identidade é chamada de Subject, ou Distinguished Name, e é um conjunto de campos identificados, e não uma única string longa. O decodificador divide o Distinguished Name em suas partes e apresenta os detalhes da chave junto com ele.

A tabela abaixo abrange todos os campos que este decodificador de CSR retorna, como é um valor válido e o que dá errado quando ele não está correto.

Uma CSR também pode conter atributos opcionais e extensões solicitadas que a maioria dos decodificadores ignora. Uma challenge password é uma string opcional que algumas CAs usavam para autorizar a revogação; deixe-a em branco a menos que a sua CA solicite uma. Extensões solicitadas como keyUsage, extendedKeyUsage e basicConstraints descrevem o que o certificado deve poder fazer, embora seja a CA quem define os valores finais.

Como funciona a decodificação de CSR

Uma CSR é uma certification request PKCS#10, um formato definido pela RFC 2986. O seu conteúdo é descrito em ASN.1, serializado em DER, que é binário, depois codificado em Base64 e envolto pelas linhas de cabeçalho e rodapé PEM para que a solicitação sobreviva ao envio por e-mail e à cópia e cola sem corromper.

A decodificação inverte essa cadeia. A ferramenta remove o envoltório PEM, converte o Base64 de volta para DER, analisa a estrutura ASN.1 e identifica cada valor encontrado.

Nenhuma decifragem ocorre em nenhuma etapa, porque nada numa CSR está cifrado. Uma CSR contém a sua chave pública. A chave privada permanece no servidor que a gerou e nunca entra na solicitação. Qualquer pessoa que intercete uma CSR pode lê-la, e é precisamente por isso que é seguro enviá-la por e-mail a uma Autoridade Certificadora.

O que uma CSR realmente carrega é uma assinatura. A solicitação é assinada com a chave privada correspondente à chave pública nela contida, o que prova que você possui essa chave. Isto chama-se Proof of Possession, e é assim que uma CA sabe que a pessoa que solicita um certificado controla a chave a ser certificada.

Após a CA validar a solicitação, emite um certificado X.509 contendo a sua chave pública e os campos do Subject que conseguiu verificar.

O que verificar antes de submeter a sua CSR

Confira a saída decodificada com esta lista antes de a solicitação chegar sequer perto de uma Autoridade Certificadora. Usar o decodificador como um verificador de CSR nesta etapa custa um minuto. Detetar o mesmo erro depois da emissão custa uma reemissão e uma nova implementação.

1. O Common Name corresponde exatamente ao seu nome de domínio totalmente qualificado, incluindo ou excluindo www conforme pretendido. example.com e www.example.com são dois nomes diferentes.
2. Todo domínio que você precisa aparece na lista SAN, não apenas no Common Name.
3. O país tem exatamente duas letras. Confira na lista ISO 3166-1 alpha-2 se tiver dúvidas.
4. Estado e localidade estão escritos por extenso, não abreviados.
5. A organização é o seu nome legal registado, se estiver a comprar um certificado OV ou EV. Certificados Domain Validated ignoram este campo.
6. A chave é RSA de 2048 bits ou superior, ou ECDSA de 256 bits ou superior.
7. O algoritmo de assinatura é SHA-256 ou mais forte.
8. A sintaxe wildcard é *.example.com, que cobre apenas um nível. Não cobre shop.eu.example.com.
9. Você ainda possui a chave privada a partir da qual esta CSR foi gerada. Confirme com o Certificate Key Matcher antes de fazer o pedido.

Problemas comuns de CSR revelados por um decodificador

Incompatibilidade de nome. O Common Name ou a lista SAN não correspondem ao domínio em que o servidor realmente responde. Este é o motivo mais comum para um certificado ser instalado e, ainda assim, falhar no navegador.

SAN em falta. O certificado foi emitido, o Common Name parece correto e um hostname continua a apresentar erro. Decodifique a CSR e verifique se esse hostname alguma vez esteve na lista SAN. Se não estava, nunca foi coberto.

Um código de país rejeitado. Três letras em vez de duas. A CA rejeita a solicitação, geralmente com uma mensagem que não identifica o campo.

Um estado abreviado. CA em vez de California, NY em vez de New York. Pedidos Domain Validated passam. Pedidos Organization Validated e Extended Validation ficam parados na validação até que você os reenvie.

Uma chave demasiado pequena. O RSA de 1024 bits já é inaceitável para as CAs públicas há anos. Gere novamente a CSR com uma chave de 2048 bits ou superior; não é possível corrigir isto editando a solicitação.

O campo OU desapareceu. Você colocou um departamento no campo Organizational Unit e ele não aparece no certificado emitido. Este é o comportamento esperado desde setembro de 2022, e não um erro da CA. Leia por que o campo OU foi removido.

Uma CSR que não corresponde à sua chave privada. Normalmente resultado de gerar uma segunda CSR e perder o controlo de qual par de chaves corresponde a qual solicitação. O Certificate Key Matcher resolve isso num só passo.

Um domínio internacional na forma errada. Domínios não ASCII têm de aparecer em Punycode, na forma xn--, em vez de na sua escrita original.

Decodificar uma CSR com OpenSSL

Se tiver o OpenSSL instalado, pode ler uma CSR sem usar um navegador:

openssl req -in example.csr -noout -text

Adicione -verify para verificar simultaneamente a própria assinatura da solicitação, o que confirma que a CSR não foi alterada desde que foi gerada:

openssl req -in example.csr -noout -text -verify

A saída coloca todo o Distinguished Name na linha Subject:, numa sequência separada por vírgulas em vez de campos separados, portanto leia da esquerda para a direita: C, ST, L, O, OU, CN. Abaixo disso, Public Key Algorithm identifica RSA ou ECDSA, e Public-Key: indica o comprimento em bits entre parênteses. Signature Algorithm aparece duas vezes, uma perto do topo e outra na parte inferior junto ao bloco de assinatura; ambas referem-se à própria assinatura da CSR.

Os Subject Alternative Names são fáceis de passar despercebidos. Não fazem parte da linha Subject. Procure mais abaixo pelo bloco Requested Extensions e pela entrada X509v3 Subject Alternative Name logo abaixo dele. Se esse bloco estiver ausente, a CSR não tem SANs de todo.

A ferramenta web acima é a opção mais rápida quando o OpenSSL não está instalado, quando você está no Windows sem WSL, ou quando a CSR veio de um painel de hospedagem e só existe como texto numa aba do navegador. A saída é a mesma informação, identificada em linguagem simples.

Decodificar uma CSR para Sectigo, DigiCert ou qualquer outra CA

Uma CSR é um arquivo PKCS#10, e o formato não muda em função de quem irá assiná-la. Não existe um formato de CSR específico para a Sectigo ou para a DigiCert, portanto um único decodificador funciona para solicitações destinadas a qualquer Autoridade Certificadora.

O que varia entre as CAs é quais campos são validados e com que rigor. Os certificados Domain Validated apenas verificam o controlo do domínio e ignoram completamente o campo Organization. Os certificados Organization Validated e Extended Validation exigem que os campos Organization, Locality, State e Country correspondam a registos públicos, o que explica por que a exatidão desses campos importa cada vez mais quanto mais alto se sobe na escala de validação.

Perguntas frequentes