CSR デコーダー（PKCS#10 リクエストビューアー）

CSR を確認する手順

1. -----BEGIN CERTIFICATE REQUEST----- から対応する END 行までのリクエストを貼り付けるか、.csr / .req ファイルをボックスにドロップします。
2. カードの サブジェクト、サブジェクト代替名（SAN）、公開鍵 を確認します。
3. 必要なら、CSR の下に秘密鍵も貼り付けます。そのカードには鍵の種類とサイズ、そして CSR のものと比べられる SPKI SHA-256 ピン だけが表示されます。
4. CA のポータルが別の形式でリクエストを求める場合は、PEM をコピー か .der をダウンロード を使います。

証明書署名要求の中身

CSR（PKCS#10）は小さなものです。サブジェクト名、公開鍵、任意の属性、そしてそれら全体に対する署名からなります。デコーダーは次のように一覧表示します。

提出前に見つけておきたい誤り

• サブジェクト代替名がない。 ブラウザはホスト名の照合で CN を無視します。パブリック CA はたいてい CN を SAN にコピーしてくれますが、社内 CA ではそうしないことが多く、名前の不一致で失敗する証明書ができてしまいます。
• 名前が足りない。 www.example.com と example.com は別のエントリです。ワイルドカード *.example.com は example.com 自体をカバーしません。
• 鍵が小さすぎる。 公的に信頼された CA は 2048 ビット以上の RSA を要求します。RSA 1024 の CSR は拒否されます。
• 鍵が違う。 別のサーバーで生成した CSR や古い鍵ファイルから作った CSR からは、自分のサーバーで使えない証明書ができます。ピンを比べてください。
• サブジェクトの誤字。 今なら簡単に直せますが、OV や EV の審査が済んだ後では高くつきます。

ツールは CSR を読み取りますが、その自己署名は確認しません。途中で切れたり編集されたりしたリクエストでもデコードできてしまうので、疑わしいときは openssl req -verify を実行してください。

OpenSSL で CSR を作成・検証する

新しい RSA 鍵と、2 つのホスト名を含む CSR を 1 回で作ります（-addext には OpenSSL 1.1.1 以降が必要です）。

openssl req -new -newkey rsa:2048 -nodes -keyout app.key -out app.csr \
  -subj "/CN=app.example.com" \
  -addext "subjectAltName=DNS:app.example.com,DNS:www.app.example.com"

署名も含めて確認し、鍵と対応しているかを確かめます。

openssl req -in app.csr -noout -text -verify
diff <(openssl req -in app.csr -noout -pubkey) <(openssl pkey -in app.key -pubout) && echo "key matches"

リクエストが無傷なら、-verify の行は Certificate request self-signature verify OK と出力します。コマンドラインのレシピは OpenSSL のページ にもっとあります。

Base64 で見た CSR

CSR は証明書と同じく、DER を PEM で包んだものです。RSA-2048 のリクエストは DER でおよそ 650〜700 バイトなので、その Base64 は MIIC で始まります。EC P-256 のリクエストは 300 バイト前後で、MIIB で始まります。受け取ったものが MIIC で始まっていてもヘッダーが CERTIFICATE なら、それは証明書です。その場合は 証明書デコーダー に貼り付けてください。同じウィジェットがどちらも扱い、どちらが見つかったかを表示します。

よくある質問