O que são arquivos CSR e como são criados?

Um arquivo de solicitação de assinatura de certificado (CSR) é algo que você gera e envia a uma autoridade de certificação, que, por sua vez, assina e envia a você o certificado SSL solicitado que foi usado para habilitar HTTPS em seu servidor da web.

O que constitui um arquivo CSR?

Os arquivos CSR contêm informações sobre sua organização e o tipo de certificado que você está solicitando. Em geral, são gerados automaticamente com a ajuda de um utilitário como o OpenSSL. Se você estiver usando LetsEncrypt, certbot gerencia a criação de arquivos CSR para você.

Os arquivos CSR contêm as seguintes informações:

• Nome comum (CN): o nome do host do seu servidor. Isso tem que coincidir exatamente, ou seus usuários verão uma página de erro em seus navegadores dizendo que o certificado não é confiável. Você pode usar curingas (p. Não., *.domain.com) para solicitar um certificado curinga que se aplica a todos os subdomínios. Um curinga como este se aplica a www, mas se você quiser proteger seu domínio raiz e todos os subdomínios, você precisará de dois certificados separados. O nome comum é o único campo que é tecnicamente necessário, então você pode deixar todo o resto em branco se quiser. Apesar disto, é bom completar os outros.
• Organização (O): o nome completo da sua empresa, incluindo sufixos, como LLC. Se você está solicitando um certificado EV ou OV (que são completamente inúteis), deve ser validado. Apesar disto, para um SSL normal, pode colocar qualquer coisa, uma vez que não é verificado e nem mesmo é necessário.
• Unidade organizacional (ONDE): a divisão da sua empresa que gerencia o certificado.
• País (C): o código de duas letras do país em que você está.
• Estado / condado / região (S): o nome completo do estado em que você está.
• Cidade / localização (eu): o nome completo da cidade em que você está.
• Direção de e-mail: o endereço de e-mail da sua organização.
• A chave pública RSA usada

O único que afeta a maneira como seu arquivo CSR é processado é seu nome comum. O nome de domínio precisará ser validado para evitar que você registre o domínio de outra pessoa; Mais tarde no procedimento, a autoridade de certificação enviará um desafio para provar que você é o proprietário do domínio, mas o arquivo CSR não tem efeito sobre isso.

RELACIONADO: O que é um arquivo PEM e como ele é usado?

O próprio arquivo CSR em si está no formato PEM e é um grande pedaço de dados codificados em base64:

-----PEDIDO DE CERTIFICADO DE INÍCIO -----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-----END CERTIFICATE REQUEST-----

Apesar disto, você não quer editar isto manualmente; em seu lugar, você pode usar uma ferramenta como o OpenSSL para gerá-lo em seu servidor.

Como criar um arquivo CSR

Se o seu servidor roda Linux, você provavelmente já tem OpenSSL instalado se você instalou Apache ou Ubuntu. Sim, não é assim, você pode instalá-lo a partir do gerenciador de pacotes da sua distribuição:

sudo apt-get install openssl

Depois de, execute o seguinte comando para iniciar o assistente de criação de CSR:

openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr

Isso irá gerar uma nova chave privada para usar em todo o procedimento e salvá-la em server.key. Em seguida, você será solicitado a fornecer suas informações; você pode deixar a maior parte em branco se quiser, mas certifique-se de que o nome comum está correto.

Sua solicitação de assinatura será salva em server.csr. Sua chave pública está incluída nesta solicitação, mas você vai querer salvar a chave privada para futuras renovações.

Depois de, Você precisará fornecer à sua autoridade de certificação o arquivo CSR para continuar com o procedimento de criação do certificado SSL. Se você estiver usando o certbot, isso é tratado automaticamente e você não precisa se preocupar com arquivos CSR.