CSR Kod Çözücü

Aşağıya bir Sertifika İmzalama Talebi (CSR) yapıştırın; bu CSR çözücü, içinde gerçekte ne olduğunu size gösterecek: Ortak Ad (Common Name) ve Ayırt Edici Ad’ın (Distinguished Name) diğer kısımları, ortak anahtar ve anahtar boyutu, imza algoritması ve talebin kapsadığı her Alternatif Konu Adı (Subject Alternative Name).

Bu alanları okumak birkaç saniye sürer. Bunları atlamak ise yeniden düzenleme maliyetine yol açar. Bir Sertifika Yetkilisi, içinde yazım hatası olan bir domain barındıran CSR’yi seve seve imzalar ve siz bunu, çoktan ödeyip kurduğunuz bir sertifika üzerinde tarayıcılar isim uyuşmazlığı hataları vermeye başladığında öğrenirsiniz.

CSR Dosyanızı Çözümleyin

CSR’nizin tam metnini, başlık ve alt bilgi satırlarıyla birlikte kutuya yapıştırın:

Geçerli bir CSR, —–BEGIN CERTIFICATE REQUEST—– ile başlar ve —–END CERTIFICATE REQUEST—– ile sona erer.

IIS çalıştıran Windows sunucuları, başlangıç satırını —–BEGIN NEW CERTIFICATE REQUEST—– olarak yazar. Her iki biçim de burada çalışır. Dosya .csr, .pem veya .txt uzantısıyla gelebilir; önemli olan sadece içindeki metindir. Bu ücretsiz çevrimiçi CSR çözücü, hemen hemen her sunucu ve barındırma panelinin ürettiği Base64 biçimi olan PEM’i okur.

Henüz bir CSR’niz yok mu? CSR oluşturucumuz ile bir tane oluşturun veya platformunuza özel CSR kılavuzunu takip edin.

CSR çözücü size ne gösterir

Her CSR, bir Sertifika Yetkilisinin ihtiyaç duyduğu iki şeyi taşır: kim olduğunuzu söylediğiniz bilgi ve sertifikalandırılmasını istediğiniz ortak anahtar. Kimlik bölümüne Subject veya Distinguished Name (Ayırt Edici Ad) denir ve bu, tek bir uzun dizeden ziyade etiketlenmiş alanlardan oluşan bir küme şeklindedir. Çözücü, Distinguished Name’i parçalarına ayırır ve anahtar bilgilerini de bunun yanında raporlar.

Aşağıdaki tablo, bu CSR çözücünün döndürdüğü her alanı, geçerli bir değerin nasıl görüneceğini ve o değer yanlış olduğunda neyin ters gideceğini kapsar.

Bir CSR, çoğu çözücünün göz ardı ettiği isteğe bağlı özellikleri ve talep edilen uzantıları da içerebilir. Meydan okuma parolası (challenge password), bazı CA’ların bir zamanlar iptal işlemini yetkilendirmek için kullandığı isteğe bağlı bir dizedir; CA’nız bunu istemedikçe boş bırakın. keyUsage, extendedKeyUsage ve basicConstraints gibi talep edilen uzantılar, sertifikanın neler yapabilmesine izin verileceğini tanımlar, ancak nihai değerleri CA belirler.

CSR çözümleme nasıl çalışır

Bir CSR, RFC 2986 tarafından tanımlanan bir biçim olan PKCS#10 sertifikalandırma talebidir. İçeriği ASN.1 ile tanımlanır, ikili (binary) olan DER’e serileştirilir, ardından Base64 ile kodlanır ve talebin bozulmadan e-posta ve kopyala-yapıştır işlemlerinden geçebilmesi için PEM başlık ve alt bilgi satırlarına sarılır.

Çözümleme bu zinciri tersine çevirir. Araç, PEM sarmalayıcısını kaldırır, Base64’ü tekrar DER’e dönüştürür, ASN.1 yapısını çözer ve bulduğu her değeri etiketler.

Hiçbir aşamada şifre çözme işlemi gerçekleşmez, çünkü bir CSR’nin içinde şifrelenmiş herhangi bir şey yoktur. Bir CSR, ortak anahtarınızı taşır. Özel anahtar onu oluşturan sunucuda kalır ve talebin içine hiçbir şekilde girmez. Bir CSR’yi ele geçiren herkes onu okuyabilir; tam da bu yüzden bir CSR’yi bir Sertifika Yetkilisine e-posta ile göndermek güvenlidir.

Bir CSR’nin taşıdığı şey ise bir imzadır. Talep, içindeki ortak anahtarla eşleşen özel anahtarla imzalanır, bu da o anahtara sahip olduğunuzu kanıtlar. Buna Sahiplik Kanıtı (Proof of Possession) denir ve bir CA, sertifika isteyen kişinin sertifikalandırılan anahtarı kontrol ettiğini bu şekilde bilir.

CA talebi doğruladıktan sonra, ortak anahtarınızı ve doğrulayabildiği Subject alanlarını içeren bir X.509 sertifikası düzenler.

CSR’nizi göndermeden önce kontrol etmeniz gerekenler

Talep bir Sertifika Yetkilisine yaklaşmadan önce, çözümlenen çıktıyı bu listeyle karşılaştırın. Çözücüyü bu noktada bir CSR kontrol aracı olarak kullanmak size bir dakika kazandırır. Aynı hatayı düzenlemeden sonra fark etmek ise yeniden düzenleme ve yeniden dağıtım maliyetine yol açar.

1. Ortak Ad, tam nitelikli domain adınızla tam olarak eşleşiyor, amaçladığınız şekilde www dahil veya hariç olarak. example.com ve www.example.com iki farklı isimdir.
2. İhtiyacınız olan her domain, sadece Ortak Ad’da değil, SAN listesinde de görünüyor.
3. Ülke tam olarak iki harften oluşuyor. Emin değilseniz ISO 3166-1 alpha-2 listesiyle karşılaştırın.
4. Eyalet ve yerleşim yeri kısaltılmadan tam olarak yazılmış.
5. Bir OV veya EV sertifikası satın alıyorsanız, kuruluş, tescilli yasal adınızdır. Domain Doğrulamalı sertifikalar bu alanı göz ardı eder.
6. Anahtar 2048 bit RSA veya daha büyük, ya da 256 bit ECDSA veya daha büyüktür.
7. İmza algoritması SHA-256 veya daha güçlüdür.
8. Wildcard sözdizimi *.example.com şeklindedir ve yalnızca bir seviyeyi kapsar. shop.eu.example.com bunun kapsamına girmez.
9. Bu CSR’nin oluşturulduğu özel anahtara halen sahipsiniz. Sipariş vermeden önce bunu Certificate Key Matcher ile doğrulayın.

Bir çözücünün ortaya çıkardığı yaygın CSR sorunları

İsim uyuşmazlığı. Ortak Ad veya SAN listesi, sunucunun gerçekte yanıt verdiği domainle eşleşmiyor. Bu, bir sertifikanın kurulup tarayıcıda hâlâ başarısız olmasının en yaygın tek nedenidir.

Eksik SAN. Sertifika düzenlendi, Ortak Ad doğru görünüyor ve bir host adı hâlâ hata veriyor. CSR’yi çözümleyin ve bu host adının hiç SAN listesinde olup olmadığını kontrol edin. Eğer değilse, hiçbir zaman kapsam altında değildi.

Reddedilen bir ülke kodu. İki harf yerine üç harf. CA talebi reddeder, genellikle hangi alanı adlandırmayan bir mesajla.

Kısaltılmış bir eyalet. California yerine CA, New York yerine NY. Domain Doğrulamalı siparişler geçer. Organizasyon Doğrulamalı ve Genişletilmiş Doğrulamalı siparişler, yeniden göndermediğiniz sürece doğrulamada beklemede kalır.

Çok küçük bir anahtar. 1024 bit RSA, yıllardır kamuya açık CA’lar için kabul edilmez durumdadır. CSR’yi 2048 bit veya daha büyük bir anahtarla yeniden oluşturun; bunu talebi düzenleyerek çözemezsiniz.

OU alanı kaybolmuş. Organizasyon Birimi alanına bir departman koydunuz ve bu, düzenlenen sertifikada yer almıyor. Bu, Eylül 2022’den beri beklenen bir davranıştır, CA tarafında bir hata değildir. OU alanının neden kaldırıldığını okuyun.

Özel anahtarınızla eşleşmeyen bir CSR. Genellikle ikinci bir CSR oluşturup hangi anahtar çiftinin hangi talebe ait olduğunu takip edememenin sonucudur. Certificate Key Matcher bunu bir adımda çözer.

Yanlış biçimde bir uluslararası domain. ASCII olmayan domainler, kendi alfabelerinde değil, Punycode olan xn-- biçiminde görünmelidir.

OpenSSL ile bir CSR çözümleme

OpenSSL yüklüyse, bir tarayıcı olmadan bir CSR okuyabilirsiniz:

openssl req -in example.csr -noout -text

Talebin kendi imzasını da aynı anda kontrol etmek için -verify ekleyin; bu, CSR’nin oluşturulduğundan bu yana değiştirilmediğini doğrular:

openssl req -in example.csr -noout -text -verify

Çıktı, tüm Distinguished Name’i ayrı alanlar olarak değil, virgülle ayrılmış tek bir dizi halinde Subject: satırına koyar, bu nedenle soldan sağa okuyun: C, ST, L, O, OU, CN. Bunun altında, Public Key Algorithm RSA veya ECDSA’yı adlandırır ve Public-Key: bit uzunluğunu köşeli parantez içinde verir. Signature Algorithm iki kez görünür, biri en üste yakın, biri de alt kısımda imza bloğunun yanında; her ikisi de CSR’nin kendi imzasına atıfta bulunur.

Alternatif Konu Adları kaçırılması kolaydır. Bunlar Subject satırının bir parçası değildir. Daha aşağıda Requested Extensions bloğuna ve altındaki X509v3 Subject Alternative Name girdisine bakın. Bu blok yoksa, CSR’de hiç SAN yoktur.

OpenSSL yüklü değilse, WSL olmadan Windows kullanıyorsanız veya CSR bir barındırma panelinden çıkıp yalnızca bir tarayıcı sekmesinde metin olarak varsa, yukarıdaki web aracı daha hızlı bir seçenektir. Çıktı aynı bilgidir, sadece sade bir dille etiketlenmiştir.

Sectigo, DigiCert veya başka bir CA için CSR çözümleme

Bir CSR, PKCS#10 dosyasıdır ve bu biçim, onu kimin imzalayacağına göre değişmez. Sectigo’ya özel veya DigiCert’e özel bir CSR biçimi yoktur, bu nedenle bir çözücü, herhangi bir Sertifika Yetkilisine yönelik talepler için çalışır.

CA’lar arasında değişen şey, hangi alanların doğrulandığı ve bunun ne kadar sıkı yapıldığıdır. Domain Doğrulamalı sertifikalar sadece domainin kontrolünü kontrol eder ve Organizasyon alanını tamamen göz ardı eder. Organizasyon Doğrulamalı ve Genişletilmiş Doğrulamalı sertifikalar, Organizasyon, Yerleşim Yeri, Eyalet ve Ülke alanlarının kamu kayıtlarıyla eşleşmesini gerektirir; bu nedenle bu alanların doğruluğu, doğrulama merdiveninde ne kadar yükseğe çıkarsanız o kadar önem kazanır.

Sıkça Sorulan Sorular