Декодер CSR

Вставьте ниже запрос на подписание сертификата (CSR), и этот декодер CSR покажет вам, что на самом деле в нём содержится: общее имя (Common Name) и остальные поля отличительного имени (Distinguished Name), открытый ключ и его размер, алгоритм подписи, а также каждое альтернативное имя субъекта (Subject Alternative Name), охватываемое запросом.

Проверка этих полей занимает несколько секунд. Если её пропустить, придётся выпускать сертификат повторно. Центр сертификации без проблем подпишет CSR с опечаткой в домене, и вы узнаете об этом, когда браузеры начнут выдавать ошибки несовпадения имени на сертификате, который вы уже оплатили и установили.

Декодируйте ваш файл CSR

Вставьте полный текст вашего CSR в поле, включая строки заголовка и окончания:

Действительный CSR начинается со строки ——BEGIN CERTIFICATE REQUEST—— и заканчивается строкой ——END CERTIFICATE REQUEST——.

На серверах Windows с IIS начальная строка записывается как ——BEGIN NEW CERTIFICATE REQUEST——. Оба варианта здесь работают. Файл может иметь расширение .csr, .pem или .txt — значение имеет только текст внутри него. Этот бесплатный онлайн-декодер CSR читает формат PEM, кодировку Base64, которую использует практически каждый сервер и панель хостинга.

Ещё нет CSR? Создайте его с помощью нашего генератора CSR или воспользуйтесь руководством по созданию CSR для вашей платформы.

Что показывает декодер CSR

Каждый CSR содержит две вещи, которые нужны центру сертификации: кем вы себя заявляете и какой открытый ключ вы хотите сертифицировать. Часть с идентификационными данными называется субъектом, или отличительным именем (Distinguished Name), и представляет собой набор именованных полей, а не одну длинную строку. Декодер разбивает отличительное имя на составляющие и приводит рядом с ним ключевые сведения.

В таблице ниже перечислены все поля, которые возвращает этот декодер CSR, каким должно быть допустимое значение и что происходит, если оно указано неверно.

CSR может также содержать необязательные атрибуты и запрошенные расширения, которые большинство декодеров пропускают. Пароль-вызов (challenge password) — это необязательная строка, которую некоторые ЦС раньше использовали для авторизации отзыва сертификата; оставьте её пустой, если ваш ЦС не требует иного. Запрошенные расширения, такие как keyUsage, extendedKeyUsage и basicConstraints, описывают, что должно быть разрешено делать сертификату, хотя окончательные значения устанавливает ЦС.

Как работает декодирование CSR

CSR — это запрос на сертификацию в формате PKCS#10, определённый в RFC 2986. Его содержимое описывается на языке ASN.1, сериализуется в DER — бинарный формат, — затем кодируется в Base64 и оборачивается строками заголовка и окончания PEM, чтобы запрос можно было безопасно передавать по электронной почте и копировать без повреждения данных.

Декодирование выполняет обратную последовательность действий. Инструмент удаляет оболочку PEM, преобразует Base64 обратно в DER, разбирает структуру ASN.1 и помечает каждое найденное значение.

На любом этапе никакого расшифровывания не происходит, потому что ничто в CSR не зашифровано. CSR содержит ваш открытый ключ. Приватный ключ остаётся на сервере, на котором он был создан, и никогда не попадает в запрос. Любой, кто перехватит CSR, сможет его прочитать, и именно поэтому его безопасно отправлять центру сертификации по электронной почте.

Что CSR действительно содержит — это подпись. Запрос подписывается приватным ключом, соответствующим открытому ключу внутри него, что доказывает, что вы владеете этим ключом. Это называется доказательством владения (Proof of Possession), и именно так ЦС узнаёт, что человек, запрашивающий сертификат, контролирует сертифицируемый ключ.

После проверки запроса ЦС выпускает сертификат X.509, содержащий ваш открытый ключ и те поля субъекта, которые ему удалось подтвердить.

Что проверить перед отправкой CSR

Пройдите по этому списку с декодированным результатом, прежде чем запрос попадёт в центр сертификации. Использование декодера в качестве проверки CSR на этом этапе занимает минуту. Обнаружение той же ошибки после выпуска сертификата обходится переоформлением и повторным развёртыванием.

1. Общее имя точно совпадает с вашим полным доменным именем, включая или исключая www, как задумано. example.com и www.example.com — это два разных имени.
2. Каждый нужный домен присутствует в списке SAN, а не только в общем имени.
3. Страна указана ровно двумя буквами. При сомнениях проверьте по списку ISO 3166-1 alpha-2.
4. Штат и населённый пункт указаны полностью, без сокращений.
5. Организация указана как ваше зарегистрированное юридическое название, если вы покупаете сертификат OV или EV. Сертификаты с проверкой домена (DV) игнорируют это поле.
6. Ключ имеет длину 2048 бит RSA или больше, либо 256 бит ECDSA или больше.
7. Алгоритм подписи — SHA-256 или сильнее.
8. Синтаксис wildcard-домена — *.example.com, что охватывает только один уровень. Он не покрывает shop.eu.example.com.
9. У вас всё ещё есть приватный ключ, из которого был сгенерирован этот CSR. Подтвердите это с помощью инструмента Certificate Key Matcher перед заказом.

Распространённые проблемы CSR, которые выявляет декодер

Несовпадение имени. Общее имя или список SAN не совпадают с доменом, на котором сервер фактически отвечает. Это самая распространённая причина, по которой сертификат устанавливается, но всё равно выдаёт ошибку в браузере.

Отсутствующий SAN. Сертификат выпущен, общее имя выглядит верно, но одно из имён хостов всё равно вызывает ошибку. Декодируйте CSR и проверьте, было ли это имя хоста когда-либо в списке SAN. Если нет — оно никогда не было защищено.

Отклонённый код страны. Три буквы вместо двух. ЦС отклоняет запрос, обычно с сообщением, которое не называет конкретное поле.

Сокращённое название штата. CA вместо California, NY вместо New York. Заказы с проверкой домена (DV) проходят. Заказы с проверкой организации (OV) и расширенной проверкой (EV) приостанавливаются на этапе проверки до повторной подачи.

Слишком маленький ключ. RSA-1024 уже много лет не принимается публичными ЦС. Создайте новый CSR с ключом 2048 бит или больше; исправить это редактированием запроса невозможно.

Поле OU исчезло. Вы указали отдел в поле подразделения организации, но его нет в выпущенном сертификате. Это ожидаемое поведение с сентября 2022 года, а не ошибка со стороны ЦС. Узнайте, почему было удалено поле OU.

CSR не совпадает с вашим приватным ключом. Обычно это результат создания второго CSR и потери информации о том, какая пара ключей относится к какому запросу. Инструмент Certificate Key Matcher решает это за один шаг.

Международный домен в неверной форме. Домены с не-ASCII символами должны указываться в кодировке Punycode, форме xn--, а не в исходном написании.

Декодирование CSR с помощью OpenSSL

Если у вас установлен OpenSSL, вы можете прочитать CSR без браузера:

openssl req -in example.csr -noout -text

Добавьте -verify, чтобы одновременно проверить собственную подпись запроса, что подтверждает, что CSR не был изменён с момента создания:

openssl req -in example.csr -noout -text -verify

Вывод размещает всё отличительное имя в строке Subject: в виде одной строки, разделённой запятыми, а не отдельными полями, поэтому читайте её слева направо: C, ST, L, O, OU, CN. Ниже указывается Public Key Algorithm — название RSA или ECDSA, а Public-Key: приводит длину в битах в скобках. Signature Algorithm встречается два раза: один раз в начале и один раз внизу возле блока подписи; обе записи относятся к собственной подписи CSR.

Альтернативные имена субъекта легко пропустить. Они не входят в строку Subject. Ищите дальше вниз блок Requested Extensions и запись X509v3 Subject Alternative Name под ним. Если этот блок отсутствует, у CSR вообще нет SAN.

Веб-инструмент выше — более быстрый вариант, когда OpenSSL не установлен, когда вы работаете на Windows без WSL, или когда CSR получен из панели хостинга и существует только как текст во вкладке браузера. Результат содержит те же данные, изложенные простым языком.

Декодирование CSR для Sectigo, DigiCert или любого другого ЦС

CSR — это файл PKCS#10, и формат не меняется в зависимости от того, кто будет его подписывать. Нет отдельного формата CSR для Sectigo или DigiCert, поэтому один декодер подходит для запросов, предназначенных для любого центра сертификации.

Что действительно различается между ЦС — это какие поля проверяются и насколько строго. Сертификаты с проверкой домена (DV) проверяют только контроль над доменом и полностью игнорируют поле организации. Сертификаты с проверкой организации (OV) и расширенной проверкой (EV) требуют, чтобы поля организации, населённого пункта, штата и страны совпадали с публичными реестрами, поэтому точность этих полей становится всё важнее по мере продвижения вверх по уровням проверки.

Часто задаваемые вопросы