Decodor CSR

Lipiți mai jos o Cerere de Semnare a Certificatului (CSR) și acest decodor CSR vă va arăta exact ce se află în interiorul ei: Numele Comun și restul Numelui Distinct, cheia publică și dimensiunea acesteia, algoritmul de semnătură și fiecare Nume Alternativ al Subiectului acoperit de cerere.

Citirea acestor câmpuri durează câteva secunde. Omiterea lor costă o reemitere. O Autoritate de Certificare va semna cu plăcere un CSR cu un domeniu scris greșit, iar dumneavoastră veți afla acest lucru atunci când browserele vor începe să genereze erori de nepotrivire a numelui pentru un certificat pe care l-ați plătit și instalat deja.

Decodați Fișierul dumneavoastră CSR

Lipiți întregul text al CSR-ului dumneavoastră în casetă, inclusiv liniile de antet și de final:

Un CSR valid începe cu ––BEGIN CERTIFICATE REQUEST–– și se termină cu ––END CERTIFICATE REQUEST––.

Serverele Windows care rulează IIS scriu linia de început ca ––BEGIN NEW CERTIFICATE REQUEST––. Ambele forme funcționează aici. Fișierul poate ajunge cu extensia .csr, .pem sau .txt; doar textul din interior contează. Acest decodor CSR online gratuit citește PEM, formatul Base64 pe care aproape orice server și panou de hosting îl produce.

Nu aveți încă un CSR? Generați unul cu generatorul nostru de CSR, sau urmați ghidul CSR pentru platforma dumneavoastră.

Ce vă arată decodorul CSR

Fiecare CSR conține două elemente de care o Autoritate de Certificare are nevoie: cine spuneți că sunteți și cheia publică pe care doriți să fie certificată. Partea de identitate se numește Subiect, sau Nume Distinct, și este un set de câmpuri etichetate, nu un singur șir lung. Decodorul împarte Numele Distinct în componentele sale și raportează detaliile cheii alături de acesta.

Tabelul de mai jos cuprinde fiecare câmp returnat de acest decodor CSR, cum arată o valoare validă și ce se defectează atunci când nu este așa.

Un CSR poate conține și atribute opționale și extensii solicitate pe care majoritatea decodoarelor le omit. O parolă de provocare este un șir opțional pe care unele CA-uri îl folosea odată pentru a autoriza revocarea; lăsați-o goală, cu excepția cazului în care CA-ul dumneavoastră o cere. Extensiile solicitate precum keyUsage, extendedKeyUsage și basicConstraints descriu ce ar trebui să i se permită certificatului să facă, deși CA-ul stabilește valorile finale.

Cum funcționează decodarea CSR

Un CSR este o cerere de certificare PKCS#10, un format definit de RFC 2986. Conținutul său este descris în ASN.1, serializat în DER, care este binar, apoi codificat Base64 și încadrat de liniile de antet și final PEM, astfel încât cererea să supraviețuiască e-mail-ului și copierii/lipirii fără a se corupe.

Decodarea inversează acest lanț. Instrumentul elimină învelișul PEM, transformă Base64-ul înapoi în DER, analizează structura ASN.1 și etichetează fiecare valoare pe care o găsește.

Nu are loc nicio decriptare la nicio etapă, pentru că nimic dintr-un CSR nu este criptat. Un CSR conține cheia dumneavoastră publică. Cheia privată rămâne pe serverul care a generat-o și nu ajunge deloc în cerere. Oricine interceptează un CSR îl poate citi, motiv pentru care este exact sigur să trimiteți unul prin e-mail unei Autorități de Certificare.

Ceea ce conține totuși un CSR este o semnătură. Cererea este semnată cu cheia privată care corespunde cheii publice din interiorul ei, ceea ce dovedește că deținem această cheie. Acest lucru se numește Dovadă de Posesie, și așa știe un CA că persoana care solicită un certificat controlează cheia care este certificată.

Odată ce CA-ul validează cererea, acesta emite un certificat X.509 care conține cheia dumneavoastră publică și oricare dintre câmpurile Subiectului pe care a putut să le verifice.

Ce trebuie să verificați înainte de a trimite CSR-ul

Verificați rezultatul decodat conform acestei liste înainte ca cererea să ajungă la o Autoritate de Certificare. Folosirea decodorului ca verificator CSR în acest moment vă costă un minut. Descoperirea aceleiași greșeli după emitere costă o reemitere și o redistribuire.

1. Numele Comun corespunde exact numelui dumneavoastră de domeniu complet calificat, incluzând sau excluzând www așa cum ați dorit. example.com și www.example.com sunt două numere diferite.
2. Fiecare domeniu de care aveți nevoie apare în lista SAN, nu doar în Numele Comun.
3. Țara este scrisă exact din două litere. Verificați-o în lista ISO 3166-1 alpha-2 dacă nu sunteți sigur.
4. Statul și localitatea sunt scrise integral, nu abreviate.
5. Organizația este denumirea dumneavoastră legală înregistrată, dacă achiziționați un certificat OV sau EV. Certificatele Validate la Nivel de Domeniu ignoră acest câmp.
6. Cheia este RSA de 2048 de biți sau mai mare, sau ECDSA de 256 de biți sau mai mare.
7. Algoritmul de semnătură este SHA-256 sau mai puternic.
8. Sintaxa wildcard este *.example.com, care acoperă un singur nivel. Nu acoperă shop.eu.example.com.
9. Încă dețineți cheia privată din care a fost generat acest CSR. Confirmați acest lucru cu instrumentul Certificate Key Matcher înainte de a plasa comanda.

Probleme frecvente ale CSR-ului dezvăluite de un decodor

Nepotrivire de nume. Numele Comun sau lista SAN nu corespunde domeniului pe care serverul răspunde de fapt. Acesta este cel mai frecvent motiv pentru care un certificat se instalează și totuși generează eroare în browser.

SAN lipsă. Certificatul a fost emis, Numele Comun pare corect, și totuși un nume de host generează în continuare erori. Decodați CSR-ul și verificați dacă acel nume de host a fost vreodată în lista SAN. Dacă nu a fost, nu a fost niciodată acoperit.

Un cod de țară respins. Trei litere în loc de două. CA-ul respinge cererea, de obicei cu un mesaj care nu specifică numele câmpului.

Un stat abreviat. CA în loc de California, NY în loc de New York. Comenzile Validate la Nivel de Domeniu trec. Comenzile cu Validare a Organizației și Validare Extinsă se blochează în validare până când retrimiteți cererea.

O cheie prea mică. RSA de 1024 de biți este inacceptabil pentru CA-urile publice de ani buni. Regenerați CSR-ul cu o cheie de 2048 de biți sau mai mare; nu puteți remedia aceasta editând cererea.

Câmpul OU a dispărut. Ați introdus un departament în câmpul Unitate Organizațională și acesta nu se află în certificatul emis. Acesta este comportamentul așteptat din septembrie 2022, nu o eroare din partea CA-ului. Aflați de ce a fost eliminat câmpul OU.

Un CSR care nu corespunde cheii dumneavoastră private. De obicei rezultatul generării unui al doilea CSR și al pierderii evidenței privind care pereche de chei a corespuns cărei cereri. Instrumentul Certificate Key Matcher rezolvă aceasta într-un singur pas.

Un domeniu internațional în forma greșită. Domeniile non-ASCII trebuie să apară în Punycode, forma xn--, mai degrabă decât în scriptul lor nativ.

Decodarea unui CSR cu OpenSSL

Dacă aveți OpenSSL instalat, puteți citi un CSR fără un browser:

openssl req -in example.csr -noout -text

Adăugați -verify pentru a verifica simultan semnătura proprie a cererii, ceea ce confirmă că CSR-ul nu a fost modificat de la generarea sa:

openssl req -in example.csr -noout -text -verify

Rezultatul afișează întregul Nume Distinct pe linia Subject:, într-un singur șir separat prin virgulă, mai degrabă decât ca câmpuri separate, așa că citiți-l de la stânga la dreapta: C, ST, L, O, OU, CN. Sub aceasta, Public Key Algorithm indică RSA sau ECDSA, iar Public-Key: dă lungimea în biți în paranteze. Signature Algorithm apare de două ori, o dată aproape de partea superioară și o dată la partea inferioară, lângă blocul de semnătură; ambele se referă la semnătura proprie a CSR-ului.

Numele Alternative ale Subiectului sunt ușor de omis. Ele nu fac parte din linia Subject. Căutați mai jos blocul Requested Extensions și intrarea X509v3 Subject Alternative Name de sub acesta. Dacă acest bloc este absent, CSR-ul nu are deloc SAN-uri.

Instrumentul web de mai sus este opțiunea mai rapidă atunci când OpenSSL nu este instalat, atunci când folosiți Windows fără WSL, sau atunci când CSR-ul a provenit dintr-un panou de hosting și există doar sub formă de text într-o filă de browser. Rezultatul este aceeași informație, etichetată într-un limbaj simplu.

Decodarea unui CSR pentru Sectigo, DigiCert sau orice alt CA

Un CSR este un fișier PKCS#10, iar formatul nu se schimbă în funcție de cine îl va semna. Nu există un format CSR specific pentru Sectigo sau specific pentru DigiCert, așa că un singur decodor funcționează pentru cereri destinate oricărei Autorități de Certificare.

Ceea ce variază totuși între CA-uri este ce câmpuri sunt validate și cât de strict. Certificatele Validate la Nivel de Domeniu verifică doar controlul domeniului și ignoră complet câmpul Organizației. Certificatele cu Validare a Organizației și Validare Extinsă necesită ca câmpurile Organizație, Localitate, Stat și Țară să corespundă registrelor publice, motiv pentru care acuratețea acestor câmpuri devine mai importantă pe măsură ce avansați pe scara validării.

Întrebări frecvente