Generatorul CSR din browser
Cum generați un CSR și cheia privată pe blackbox.md, câmp cu câmp, și ce salvați imediat.
Pe această pagină
Pagina „Generator CSR — Certificate Signing Request” (blackbox.md/domains/csr, meniul „Domenii” → „Generator CSR”) creează o cerere de semnare a certificatului (CSR) și cheia privată asociată. De ele aveți nevoie ca să cumpărați un certificat SSL comercial. Totul rulează în browserul dvs.: „Toate datele sunt procesate în browser-ul dvs. — cheia privată nu părăsește calculatorul.”
Disponibil pentru: oricine vizitează blackbox.md; nu aveți nevoie de cont. Versiunea în rusă: blackbox.md/ru/domains/csr.
Notă Pentru un certificat gratuit Let's Encrypt nu aveți nevoie de CSR: certbot îl generează singur pe server. Vedeți Server web cu HTTPS: nginx sau Apache și Let's Encrypt.
Cum generați CSR-ul și cheia
- Deschideți
https://blackbox.md/domains/csr. Formularul „Generator CSR” se află sub titlul și descrierea paginii. Până se încarcă, în locul lui scrie „Generatorul se încarcă...”. - La „Tip cheie”, alegeți varianta dorită (vedeți tabelul de mai jos). Implicit este selectat „RSA 2048”.
- Completați câmpurile, conform tabelului „Câmpurile formularului”.
- Apăsați „Generează CSR și cheia privată”. Cât durează generarea, butonul afișează „Se generează...”. O cheie RSA 4096 se generează mai încet.
- Pe ecranul cu rezultatul, salvați întâi cheia: la blocul „Cheia privată (.key)” apăsați „Descarcă”.
- La blocul „CSR (.csr) — trimiteți la CA”, apăsați „Descarcă” sau „Copiază”.
| „Tip cheie” | Descrierea de pe ecran | Când o alegeți |
|---|---|---|
| „RSA 2048” (implicit) | „Standard universal” | Compatibilitate maximă. Alegeți-o dacă nu sunteți sigur. |
| „RSA 4096” | „Securitate maximă” | Cheie mai lungă, generare mai lentă. |
| „ECDSA P-256” | „Modern, mai rapid” | Servere noi. Nu funcționează pe sisteme și browsere foarte vechi. |
Câmpurile formularului
| Câmp | Ce introduceți | Valoare la deschiderea paginii |
|---|---|---|
| „Common Name (CN)” * | Domeniul exact, fără https://. Ajutor pe ecran: „Domeniul exact pentru certificat. Wildcard: *.domeniu.md” |
gol (exemplu: „www.domeniu.md”) |
| „Țară (ISO 2 litere)” | Codul țării din 2 litere: MD, RO, US. Literele trec automat în majuscule. |
MD |
| „Regiune / Județ” | Regiunea, raionul sau municipiul | Chisinau |
| „Localitate” | Orașul | Chisinau |
| „Organizație” | Denumirea juridică a companiei | gol (exemplu: „Numele Companiei SRL”) |
| „Departament (OU)” | Departamentul, dacă vreți | gol (exemplu: „IT”) |
| „Email contact” | O adresă de contact, dacă vreți | gol (exemplu: „admin@domeniu.md”) |
| „Subject Alternative Names (opțional)” | Toate numele pe care le acoperă certificatul, câte unul pe linie sau separate prin virgulă. Ajutor pe ecran: „Un domeniu pe linie. Pentru certificate multi-domain.” | gol |
Câmpul „Common Name (CN)” este obligatoriu (marcat cu *). „Țară (ISO 2 litere)” trebuie să conțină un cod din 2 litere; implicit este MD. Celelalte câmpuri pot rămâne goale, iar câmpurile goale nu intră în CSR. „Regiune / Județ” și „Localitate” au implicit valoarea Chisinau: schimbați-le dacă sediul companiei este în altă localitate. Textele gri din câmpurile goale („IT”, „Numele Companiei SRL”) sunt doar exemple: nu intră în CSR dacă nu le scrieți. Formularul nu verifică adresa de email. La certificatele OV și EV, CA-ul verifică denumirea din „Organizație”, deci scrieți-o exact ca în actele companiei.
Sfat CN-ul nu se adaugă automat în lista SAN. Scrieți în „Subject Alternative Names (opțional)” toate numele, inclusiv pe cel din CN, de exemplu
example.comșiwww.example.com. Un wildcard*.example.comnu acoperăexample.com, deci adăugați-l separat.
Mesaje de eroare
| Mesaj | Cauza | Ce faceți |
|---|---|---|
| „Common Name (CN) este obligatoriu” | Câmpul CN este gol. | Completați domeniul. |
| „Country trebuie să fie un cod ISO de 2 litere (ex: MD, RO, US)” | „Țară (ISO 2 litere)” este gol sau are un singur caracter. | Introduceți codul din 2 litere. |
| „SAN invalid (trebuie nume DNS valide): …” | Intrările afișate la finalul mesajului nu sunt nume de domeniu valide. | Scrieți doar nume de domeniu complete, cu extensie (example.com, nu domeniu): fără http://, fără /, fără adrese IP. Wildcard doar ca *. la început. |
| „Eroare la generare: …” | Browserul nu a putut genera cheia. | Reîncărcați pagina sau încercați un browser actualizat. Ca alternativă, folosiți openssl (mai jos). |
Ecranul cu rezultatul
După generare, formularul este înlocuit de rezultat:
| Element | Ce conține |
|---|---|
| „Salvați cheia privată ACUM” | Avertismentul: „Cheia nu poate fi recuperată după ce părăsiți pagina. Descărcați-o sau copiați-o într-un loc sigur.” |
| „Cheia privată (.key)” | Cheia în format PEM (PKCS#8), care începe cu -----BEGIN PRIVATE KEY-----. Nu este protejată cu parolă. „Descarcă” salvează fișierul cu numele CN-ului, de exemplu www.example.com.key. |
| „CSR (.csr) — trimiteți la CA” | CSR-ul în format PEM, care începe cu -----BEGIN CERTIFICATE REQUEST-----, semnat cu SHA-256. „Descarcă” salvează, de exemplu, www.example.com.csr. |
| „Generează altul” | Revine la formular și păstrează valorile introduse. Cheia și CSR-ul afișate dispar. |
După „Copiază”, butonul afișează „Copiat!” timp de 2 secunde. Dacă eticheta nu se schimbă, browserul a blocat accesul la clipboard: folosiți „Descarcă” sau selectați textul cu mouse-ul. La un CN wildcard, numele fișierului conține „*”, iar browserul îl poate înlocui cu alt caracter; redenumiți fișierul dacă e nevoie.
Atenție Cheia privată există doar pe această pagină. Dacă închideți fila, reîncărcați pagina sau apăsați „Generează altul” înainte de a o salva, cheia se pierde, iar CSR-ul făcut cu ea nu mai poate fi folosit. BLACKBOX nu are o copie.
Ce faceți cu fișierele
- CSR-ul (
.csr) îl trimiteți CA-ului de la care cumpărați certificatul. Un certificat comercial prin BLACKBOX se comandă la cerere, prin suport; vedeți Certificate SSL: gratuite (Let's Encrypt) și comerciale. Înainte de trimitere, îl puteți verifica cu pașii din Verificarea unui CSR sau certificat cu openssl. - Cheia (
.key) rămâne la dvs. și ajunge doar pe serverul unde instalați certificatul (vedeți Transferul fișierelor pe server (scp, rsync, SFTP)). Nu o trimiteți nimănui: nici CA-ului, nici suportului, nici prin email.
Varianta cu openssl, direct pe server
Puteți genera aceleași fișiere pe server: conectați-vă prin SSH (Conectarea la server prin SSH (Windows, macOS, Linux)) și rulați comanda de mai jos. Cheia rămâne pe server, deci nu mai trebuie copiată. Rezultatul este același ca la generator: cheie RSA 2048 fără parolă în format PEM (PKCS#8) și CSR semnat cu SHA-256, cu numele din SAN. Înlocuiți DOMENIU cu domeniul dvs. (de exemplu example.com) și NUME_COMPANIE cu denumirea companiei. Scrieți valorile doar cu litere latine, fără diacritice.
openssl req -new -newkey rsa:2048 -nodes -sha256 -keyout DOMENIU.key -out DOMENIU.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=NUME_COMPANIE/CN=www.DOMENIU" -addext "subjectAltName=DNS:DOMENIU,DNS:www.DOMENIU"Pentru RSA 4096, înlocuiți rsa:2048 cu rsa:4096. Pentru ECDSA P-256:
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes -sha256 -keyout DOMENIU.key -out DOMENIU.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=NUME_COMPANIE/CN=www.DOMENIU" -addext "subjectAltName=DNS:DOMENIU,DNS:www.DOMENIU"Opțiunea -addext cere OpenSSL 1.1.1 sau mai nou. Verificați versiunea:
openssl versionComanda funcționează și pe calculatorul dvs., dacă are openssl. Pe Windows, folosiți WSL; în Git Bash, scrieți MSYS_NO_PATHCONV=1 și un spațiu la începutul comenzii, altfel valoarea -subj este modificată și comanda eșuează.
Întrebări frecvente
Am pierdut cheia privată. O puteți recupera? Nu. Cheia se generează doar în browserul dvs., iar BLACKBOX nu o primește. Generați o pereche nouă și folosiți noul CSR. Dacă certificatul a fost deja emis pe CSR-ul vechi, cereți CA-ului reemiterea lui cu noul CSR.
Pot face un CSR nou pentru o cheie pe care o am deja? Generatorul din browser creează mereu o cheie nouă. Pentru o cheie existentă folosiți openssl:
openssl req -new -key DOMENIU.key -out DOMENIU-nou.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=NUME_COMPANIE/CN=www.DOMENIU" -addext "subjectAltName=DNS:DOMENIU,DNS:www.DOMENIU"Totuși, la reînnoirea certificatului este mai bine să generați o cheie nouă.
RSA sau ECDSA? RSA 2048 este acceptată de orice browser și server. ECDSA P-256 este mai modernă și mai rapidă, dar nu funcționează pe sisteme foarte vechi. Dacă nu sunteți sigur, alegeți RSA 2048.
Pot verifica CSR-ul pe site? Nu. Pagina decodorului („CSR Decodor” din meniu sau butonul „Decoder CSR” de pe pagina generatorului) nu decodează fișiere. Verificați CSR-ul cu openssl: Verificarea unui CSR sau certificat cu openssl.
BLACKBOX vede datele pe care le introduc? Nu. Cheia și CSR-ul se generează în browser, iar pagina nu le trimite nicăieri. Datele din formular se pierd când închideți fila.