Wygeneruj żądanie certyfikatu SSL (CSR) i klucz prywatny prosto w przeglądarce. Dane z formularza, CSR i klucz nigdzie nie trafiają: nie dostajemy ich i nie przechowujemy.
Do certyfikatu z weryfikacją domeny wystarczy adres strony. Jeśli potrzebujesz certyfikatu dla firmy albo kilku domen, rozwiń dodatkowe ustawienia.
CSR wysyła się do urzędu certyfikacji, a klucz prywatny zostaje u Ciebie do instalacji. Certyfikat przyjdzie po weryfikacji domeny, a przy OV i EV także firmy.
Tekst z domeną, kluczem publicznym i w razie potrzeby danymi firmy. Przekazuje się go urzędowi certyfikacji, czyli organizacji, która wystawia certyfikaty. W CSR nie ma klucza prywatnego, więc można go spokojnie wysłać mailem.
Plik, który powstaje razem z CSR i jest potrzebny certyfikatowi na serwerze. Kto zdobędzie klucz, może podszyć się pod Twoją stronę. Trzymaj go w bezpiecznym miejscu i nikomu nie wysyłaj: do zamówienia nie jest potrzebny.
Urząd certyfikacji sprawdza, czy domena jest Twoja, i wystawia certyfikat na adresy z CSR. Działa on tylko w parze z kluczem utworzonym razem z tym CSR.
Żądanie i klucz to dopiero początek. Reszta dzieje się przy zamówieniu i na Twoim serwerze.
KROK 1
Wpisz domenę w formularzu powyżej i pobierz oba pliki. Klucz zapisz od razu: po zamknięciu strony nie da się go odzyskać.
KROK 2
Wybierz certyfikat SSL i, gdy przy zamówieniu pojawi się prośba o CSR, wklej go w całości. Klucz zostaw u siebie: przyda się przy instalacji.
KROK 3
Urząd certyfikacji sprawdzi, czy domena jest Twoja: przez e-mail, plik na stronie albo rekord DNS. Instrukcję dostaniesz przy zamówieniu.
KROK 4
Dodaj wystawiony certyfikat i zapisany klucz w panelu hostingu albo w ustawieniach serwera. Osobno nie działają. Potem sprawdź zainstalowany certyfikat: czy widać go z zewnątrz razem z pośrednim.
Jeśli hosting albo urządzenie potrafi samo wygenerować CSR, jest jeszcze prościej: klucza nie trzeba przenosić z przeglądarki.
W cPanel, DirectAdmin i Plesk CSR wygenerujesz w sekcji certyfikatów SSL. Klucz prywatny zostaje w panelu, w którym potem zainstalujesz certyfikat.
Niektóre routery i zapory sieciowe potrafią same wygenerować CSR, co znajdziesz w ich instrukcji. Wtedy klucz w ogóle nie opuszcza urządzenia.
Jeśli zarządzasz serwerem przez terminal, OpenSSL wygeneruje CSR i klucz jednym poleceniem:
openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr
Jak przechować klucz, wypełnić dane i przygotować CSR do certyfikatu.
Tak, jeśli klucz tworzy Twoja przeglądarka, a nie serwer strony. Tutaj właśnie tak jest: klucz generuje wbudowany w przeglądarkę moduł szyfrowania i nie trafia on na nasz serwer. Łatwo to sprawdzić: otwórz stronę, wyłącz internet i wygeneruj CSR. Wszystko zadziała bez sieci.
Korzystaj z generatora tylko przez HTTPS i na urządzeniu, któremu ufasz. Jeśli zasady Twojej firmy wymagają tworzenia kluczy na serwerze albo specjalnym urządzeniu, użyj jego własnego generatora CSR.
Najpierw sprawdź, czy klucz nie został w panelu hostingu, na serwerze albo w kopii zapasowej. Jeśli go nie ma, wygeneruj nowy klucz i CSR, a potem poproś o ponowne wydanie certyfikatu. Klucza nie da się odtworzyć z CSR ani z certyfikatu. Przy certyfikatach kupionych u nas ponowne wydanie jest częścią usługi.
W tym generatorze obowiązkowe jest tylko pole „Domena”. Przy certyfikacie z weryfikacją domeny (DV) dane firmy można pominąć. Przy certyfikatach z weryfikacją organizacji (OV i EV) podaj jej nazwę, miasto, województwo i kraj zgodnie z wymaganiami urzędu certyfikacji. Nazwę i adres wpisz alfabetem łacińskim, tak jak w dokumentach rejestrowych.
Wpisz *.example.com. Wildcard to certyfikat dla subdomen jednego poziomu, na przykład shop.example.com i mail.example.com. Adres a.shop.example.com nie mieści się już pod gwiazdką. Żeby dodać samo example.com, zostaw w formularzu zaznaczone pole „Dodaj samą domenę”. Przed zamówieniem upewnij się, że certyfikat obejmuje wszystkie potrzebne adresy: porównaj certyfikaty zwykłe i Wildcard.
Czasem tak: jeśli masz jeszcze jego klucz prywatny, domeny i dane się nie zmieniły, a urząd certyfikacji przyjmuje stary CSR. Przy odnowieniu lepiej wygenerować nowy klucz i żądanie. Jeśli klucz trafił w obce ręce, nie używaj go ponownie: wymień klucz i poproś urząd certyfikacji o unieważnienie i ponowne wydanie certyfikatu.
Generator zapisuje klucz w formacie PEM, którego używają nginx, Apache i wiele paneli hostingu. Do importu w IIS zwykle potrzebny jest plik PFX, który łączy certyfikat i klucz prywatny. Po wystawieniu certyfikatu przygotuj PFX, na przykład przez OpenSSL:
openssl pkcs12 -export -in certificate.crt -inkey example.com.key -out example.com.pfx
Podstaw nazwy swoich plików i ustaw hasło do PFX. Jeśli urząd certyfikacji przysłał certyfikaty pośrednie, dołącz je zgodnie z instrukcją dla swojego serwera.
Na naszym hostingu darmowy certyfikat jest już w pakiecie i odnawia się sam: nie potrzeba ani CSR, ani ręcznej instalacji.
Certyfikaty zwykłe i Wildcard od Sectigo i RapidSSL. Ponowne wydanie z nowym kluczem jest częścią usługi.
