Decodificador de CSR (visualizador de solicitações PKCS#10)

Como conferir um CSR

1. Cole a solicitação, de -----BEGIN CERTIFICATE REQUEST----- até a linha END correspondente, ou arraste o arquivo .csr / .req para a caixa.
2. Confira Titular, Nomes alternativos (SAN) e Chave pública no cartão.
3. Se quiser, cole a chave privada abaixo do CSR. O cartão dela mostra só o tipo e o tamanho da chave, e um Pin SPKI SHA-256 que você pode comparar com o do CSR.
4. Use Copiar PEM ou Baixar .der se o portal da CA quiser a solicitação em outro formato.

O que há dentro de uma solicitação de assinatura de certificado

Um CSR (PKCS#10) é pequeno: um nome de titular, uma chave pública, atributos opcionais e uma assinatura sobre tudo isso. O decodificador lista assim:

Erros que vale pegar antes de enviar

• Sem nomes alternativos (SAN). Navegadores ignoram o CN ao comparar hostnames. CAs públicas costumam copiar o CN para o SAN por você; CAs internas muitas vezes não, e o resultado é um certificado que falha com erro de nome.
• Um nome faltando. www.example.com e example.com são duas entradas diferentes. Um curinga *.example.com não cobre o próprio example.com.
• Chave pequena demais. CAs publicamente confiáveis exigem RSA de pelo menos 2048 bits. Um CSR RSA 1024 será rejeitado.
• Chave errada. Um CSR gerado em outro servidor, ou a partir de um arquivo de chave antigo, produz um certificado que o seu servidor não consegue usar. Compare os pins.
• Erros de digitação no titular. Baratos de corrigir agora, caros depois que uma validação OV ou EV já rodou.

A ferramenta lê o CSR, mas não confere a autoassinatura dele. Uma solicitação truncada ou editada ainda pode ser decodificada, então rode openssl req -verify na dúvida.

Como criar e verificar um CSR com OpenSSL

Uma nova chave RSA e um CSR com dois hostnames em um passo só (OpenSSL 1.1.1 ou posterior, por causa do -addext):

openssl req -new -newkey rsa:2048 -nodes -keyout app.key -out app.csr \
  -subj "/CN=app.example.com" \
  -addext "subjectAltName=DNS:app.example.com,DNS:www.app.example.com"

Confira o CSR, incluindo a assinatura, e confirme que ele corresponde à chave:

openssl req -in app.csr -noout -text -verify
diff <(openssl req -in app.csr -noout -pubkey) <(openssl pkey -in app.key -pubout) && echo "key matches"

A linha com -verify imprime Certificate request self-signature verify OK para uma solicitação intacta. Mais receitas de linha de comando na página de OpenSSL.

Como um CSR aparece em Base64

Um CSR é DER embrulhado em PEM, como um certificado. Uma solicitação RSA-2048 tem mais ou menos 650–700 bytes de DER, então o Base64 dela começa com MIIC; uma solicitação EC P-256 fica perto de 300 bytes e começa com MIIB. Se o que você recebeu começa com MIIC mas o cabeçalho diz CERTIFICATE, é um certificado. Cole no decodificador de certificados; o mesmo widget lida com os dois e diz qual encontrou.

Perguntas frequentes