CSR 生成器

生成的内容

两个 PEM 文件：

example.csr（公开，发送给 CA）：

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key（私密，保留在您的服务器上）：

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

CSR 使用私钥签名，作为所有权的证明。当 CA 签发证书时，证书的公钥将与 CSR 中的密钥匹配，而该密钥又与您服务器上的私钥匹配。

此生成器创建的 CSR 只包含您输入的通用名称，不带主题备用名称（SAN）扩展。如果您的证书需要覆盖多个主机名，请使用 CA 自带的工具：Let’s Encrypt 等 ACME 客户端会为您构建请求，大多数 CA 的网页表单在提交时会补充额外名称。

按证书类型划分的字段要求

Let’s Encrypt 和大多数自动化 DV 签发机构只查看通用名称。签发 OV/EV 证书的企业 CA 会将组织信息与商业登记记录进行核验。

密钥大小选择

对于公共 Web 服务器，RSA 2048 是安全默认选择。如果您希望获得更大的安全余量，并且可以接受较慢的密钥生成、较慢的握手和较大的证书，请选择 3072 或 4096 位。

CSR 容易出错的地方

• 证书未覆盖主机名：当证书未覆盖您访问的确切名称时，浏览器会显示 “NET::ERR_CERT_COMMON_NAME_INVALID”。通用名称必须与完整主机名匹配，包括使用 www 时。由于此生成器创建的是单 CN 请求，需要额外名称时请使用 CA 的工具。
• 通配符限制：通配符 *.example.com 只匹配一级子域。它不匹配 api.v2.example.com。
• 根域与通配符是不同名称：*.example.com 不覆盖裸域 example.com；证书中需要将两者作为独立名称。
• IP 地址：大多数公共 CA 不再为 IP 地址签发证书，您必须使用主机名。

生成之后

1. 妥善保管私钥。权限 0600，由 Web 服务器用户所有。
2. 将 CSR 粘贴到 CA 的网页表单或命令行工具中（Let’s Encrypt 通过 ACME 通常会自动处理）。
3. 收到签发的证书（以及中间链）。
4. 在服务器上同时安装证书链和私钥。
5. 使用 SSL 检查工具进行验证。