Генератор CSR в браузере
Как сгенерировать CSR и приватный ключ на blackbox.md, поле за полем, и что сохранить сразу.
На этой странице
Страница «Генератор CSR — Certificate Signing Request» (blackbox.md/ru/domains/csr, меню «Домены» → «Генератор CSR») создаёт запрос на подпись сертификата (CSR) и парный к нему приватный ключ. Они нужны, чтобы купить коммерческий SSL-сертификат. Всё выполняется в вашем браузере: «Все данные обрабатываются в вашем браузере — приватный ключ не покидает компьютер.»
Доступно: всем посетителям blackbox.md, аккаунт не нужен. Румынская версия страницы: blackbox.md/domains/csr.
Примечание Для бесплатного сертификата Let's Encrypt CSR не нужен: certbot сам создаёт его на сервере. См. Веб-сервер с HTTPS: nginx или Apache и Let's Encrypt.
Как сгенерировать CSR и ключ
- Откройте
https://blackbox.md/ru/domains/csr. Форма «Генератор CSR» находится под заголовком и описанием страницы. Пока форма загружается, на её месте видна надпись «Генератор загружается...». - В разделе «Тип ключа» выберите нужный вариант (см. таблицу ниже). По умолчанию выбран «RSA 2048».
- Заполните поля по таблице «Поля формы».
- Нажмите «Сгенерировать CSR и приватный ключ». Пока идёт генерация, на кнопке написано «Генерация...». Ключ RSA 4096 создаётся дольше.
- На экране с результатом сначала сохраните ключ: в блоке «Приватный ключ (.key)» нажмите «Скачать».
- В блоке «CSR (.csr) — отправьте в CA» нажмите «Скачать» или «Копировать».
| «Тип ключа» | Подпись на экране | Когда выбирать |
|---|---|---|
| «RSA 2048» (по умолчанию) | «Универсальный стандарт» | Максимальная совместимость. Выбирайте, если сомневаетесь. |
| «RSA 4096» | «Максимальная безопасность» | Более длинный ключ, генерация медленнее. |
| «ECDSA P-256» | «Современный, быстрее» | Новые серверы. Не работает на очень старых системах и браузерах. |
Поля формы
| Поле | Что указать | Значение при открытии страницы |
|---|---|---|
| «Common Name (CN)» * | Точный домен, без https://. Подсказка на экране: «Точный домен для сертификата. Wildcard: *.domeniu.md» |
пусто (пример: «www.domeniu.md») |
| «Страна (ISO, 2 буквы)» | Двухбуквенный код страны: MD, RO, US. Буквы автоматически становятся заглавными. |
MD |
| «Регион / область» | Регион, район или муниципий | Chisinau |
| «Населённый пункт» | Город | Chisinau |
| «Организация» | Юридическое название компании | пусто (пример: «Numele Companiei SRL») |
| «Подразделение (OU)» | Отдел, по желанию | пусто (пример: «IT») |
| «Контактный email» | Контактный адрес, по желанию | пусто (пример: «admin@domeniu.md») |
| «Subject Alternative Names (опционально)» | Все имена, которые должен покрывать сертификат, по одному на строку или через запятую. Подсказка на экране: «Один домен на строку. Для мульти-домен сертификатов.» | пусто |
Обязательное поле — «Common Name (CN)» (отмечено *). В поле «Страна (ISO, 2 буквы)» должен быть двухбуквенный код; по умолчанию там MD. Остальные поля можно оставить пустыми: пустые поля в CSR не попадают. В полях «Регион / область» и «Населённый пункт» по умолчанию стоит Chisinau — измените их, если компания находится в другом населённом пункте. Серые подсказки в пустых полях («IT», «Numele Companiei SRL») — только примеры: в CSR их не будет, пока вы не впишете значение сами. Адрес email форма не проверяет. Для сертификатов OV и EV центр сертификации проверяет название из поля «Организация», поэтому указывайте его точно как в документах компании.
Совет CN не добавляется в список SAN автоматически. Перечислите в «Subject Alternative Names (опционально)» все имена, включая указанное в CN, например
example.comиwww.example.com. Wildcard*.example.comне покрываетexample.com— добавьте его отдельно.
Сообщения об ошибках
| Сообщение | Причина | Что делать |
|---|---|---|
| «Common Name (CN) обязателен» | Поле CN пустое. | Укажите домен. |
| «Country должен быть 2-буквенным ISO-кодом (напр.: MD, RO, US)» | Поле «Страна (ISO, 2 буквы)» пустое или содержит один символ. | Введите двухбуквенный код. |
| «Недопустимый SAN (нужны корректные DNS-имена): …» | Записи, перечисленные в конце сообщения, не являются корректными доменными именами. | Указывайте только полные доменные имена с зоной (example.com, а не domeniu): без http://, без /, без IP-адресов. Wildcard — только как *. в начале. |
| «Ошибка при генерации: …» | Браузеру не удалось создать ключ. | Обновите страницу или попробуйте актуальный браузер. Либо воспользуйтесь openssl (см. ниже). |
Экран с результатом
После генерации вместо формы появляется результат:
| Элемент | Что содержит |
|---|---|
| «Сохраните приватный ключ СЕЙЧАС» | Предупреждение: «Ключ невозможно восстановить после того, как вы покинете страницу. Скачайте его или скопируйте в надёжное место.» |
| «Приватный ключ (.key)» | Ключ в формате PEM (PKCS#8), начинается с -----BEGIN PRIVATE KEY-----. Паролем не защищён. «Скачать» сохраняет файл с именем по CN, например www.example.com.key. |
| «CSR (.csr) — отправьте в CA» | CSR в формате PEM, начинается с -----BEGIN CERTIFICATE REQUEST-----, подписан SHA-256. «Скачать» сохраняет, например, www.example.com.csr. |
| «Сгенерировать ещё один» | Возвращает к форме, введённые значения сохраняются. Показанные ключ и CSR исчезают. |
После нажатия «Копировать» на кнопке на 2 секунды появляется «Скопировано!». Если надпись не меняется, браузер заблокировал доступ к буферу обмена: нажмите «Скачать» или выделите текст мышью. Если CN — wildcard, имя файла содержит «*», и браузер может заменить этот символ другим; при необходимости переименуйте файл.
Внимание Приватный ключ существует только на этой странице. Если закрыть вкладку, обновить страницу или нажать «Сгенерировать ещё один», не сохранив ключ, он будет потерян, а созданный с ним CSR станет бесполезен. Копии у BLACKBOX нет.
Что делать с файлами
- CSR (
.csr) отправьте в центр сертификации (CA), у которого покупаете сертификат. Коммерческий сертификат через BLACKBOX заказывается по запросу через поддержку — см. SSL-сертификаты: бесплатные (Let's Encrypt) и коммерческие. Перед отправкой CSR можно проверить по статье Проверка CSR или сертификата с помощью openssl. - Ключ (
.key) остаётся у вас и попадает только на сервер, где будет установлен сертификат (см. Передача файлов на сервер (scp, rsync, SFTP)). Никому его не отправляйте: ни в CA, ни в поддержку, ни по email.
Вариант с openssl прямо на сервере
Те же файлы можно создать на сервере: подключитесь по SSH (Подключение к серверу по SSH (Windows, macOS, Linux)) и выполните команду ниже. Ключ сразу окажется на сервере, копировать его не придётся. Результат такой же, как у генератора: ключ RSA 2048 без пароля в формате PEM (PKCS#8) и CSR с подписью SHA-256 и именами в SAN. Замените ДОМЕН своим доменом (например, example.com), а НАЗВАНИЕ_КОМПАНИИ — названием компании. Пишите значения только латиницей, без диакритических знаков.
openssl req -new -newkey rsa:2048 -nodes -sha256 -keyout ДОМЕН.key -out ДОМЕН.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=НАЗВАНИЕ_КОМПАНИИ/CN=www.ДОМЕН" -addext "subjectAltName=DNS:ДОМЕН,DNS:www.ДОМЕН"Для RSA 4096 замените rsa:2048 на rsa:4096. Для ECDSA P-256:
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes -sha256 -keyout ДОМЕН.key -out ДОМЕН.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=НАЗВАНИЕ_КОМПАНИИ/CN=www.ДОМЕН" -addext "subjectAltName=DNS:ДОМЕН,DNS:www.ДОМЕН"Параметр -addext требует OpenSSL 1.1.1 или новее. Проверьте версию:
openssl versionКоманда работает и на вашем компьютере, если на нём установлен openssl. В Windows используйте WSL; в Git Bash добавьте в начало команды MSYS_NO_PATHCONV=1 и пробел, иначе значение -subj будет искажено и команда завершится ошибкой.
Частые вопросы
Приватный ключ потерян. Его можно восстановить? Нет. Ключ создаётся только в вашем браузере, BLACKBOX его не получает. Сгенерируйте новую пару и используйте новый CSR. Если сертификат уже выпущен по старому CSR, попросите CA перевыпустить его с новым CSR.
Можно ли сделать новый CSR для уже имеющегося ключа? Генератор в браузере всегда создаёт новый ключ. Для существующего ключа используйте openssl:
openssl req -new -key ДОМЕН.key -out ДОМЕН-new.csr -subj "/C=MD/ST=Chisinau/L=Chisinau/O=НАЗВАНИЕ_КОМПАНИИ/CN=www.ДОМЕН" -addext "subjectAltName=DNS:ДОМЕН,DNS:www.ДОМЕН"Однако при продлении сертификата лучше создать новый ключ.
RSA или ECDSA? RSA 2048 принимают любые браузеры и серверы. ECDSA P-256 современнее и быстрее, но не работает на очень старых системах. Если сомневаетесь, выбирайте RSA 2048.
Можно ли проверить CSR на сайте? Нет. Страница декодера («Декодер CSR» в меню или одноимённая кнопка на странице генератора) файлы не декодирует. Проверьте CSR с помощью openssl: Проверка CSR или сертификата с помощью openssl.
Видит ли BLACKBOX данные, которые я ввожу? Нет. Ключ и CSR создаются в браузере, страница никуда их не отправляет. Данные формы пропадают, когда вы закрываете вкладку.