CSR prüfen - Zertifikatsantrag dekodieren
Einen CSR vor dem Einreichen dekodieren: Antragsteller, SANs, Schlüssel, beantragte Verwendung und Besitznachweis - plus jeder Grund, aus dem eine CA ihn ablehnen würde.
CSR prüfen dekodiert einen Zertifikatsantrag und sagt Ihnen vor dem Einreichen, ob eine
CA ihn annehmen wird. Es liest jeden PKCS#10-Antrag - aus diesem Toolkit, aus certreq,
OpenSSL, IIS oder einer Appliance.
Sie öffnen es über die Werkzeugleiste der Zertifikatsliste oder mit Diesen CSR prüfen
am Ende von CSR erstellen. Auf der Kommandozeile ist
es actk decode.
CSR dekodieren
Den Antrag einfügen oder Datei öffnen … wählen. PEM
(-----BEGIN CERTIFICATE REQUEST-----) und binäres DER funktionieren beide; Zeilenumbrüche,
die beim Kopieren aus einem Webformular oder einer E-Mail verloren gingen, werden repariert.
Leeren leert das Feld.
Das Ergebnis zeigt:
| Feld | Aussage |
|---|---|
| Ergebnis | Sieht gut aus, oder Wird abgelehnt, wenn ein Befund ein Fehler ist. |
| Antragsteller | Common Name, Organisation, Abteilung (OU), Ort, Bundesland, Land. |
| Alternative Namen (SANs) | Jeder Hostname, jede IP- und E-Mail-Adresse im Antrag. |
| Schlüssel | Algorithmus und Größe, z. B. RSA 2048 oder EC P-256. |
| Beantragte Verwendung | Schlüsselverwendung und erweiterte Schlüsselverwendung, die der Antrag verlangt - oder „nicht angegeben (entscheidet die CA)“. |
| Signatur | Der Signaturalgorithmus. |
| Besitznachweis | Signatur gültig, wenn der Antrag mit dem enthaltenen Schlüssel signiert ist - der Nachweis, dass der Antragsteller den privaten Schlüssel besitzt. |
| Schlüssel-Pin | Der SHA-256 des öffentlichen Schlüssels. Das ausgestellte Zertifikat trägt denselben Wert; daran ordnet das Toolkit es beim Import seinem Schlüssel zu. |
Warum eine CA einen Antrag ablehnt
Fehler führen zur Ablehnung durch die CA; Warnungen und Hinweise sollten Sie beheben, sie verhindern die Ausstellung aber nicht.
| Befund | Schwere |
|---|---|
| Der Antrag ist nicht mit dem enthaltenen Schlüssel signiert | Fehler |
| Der RSA-Schlüssel hat weniger als 2048 Bit | Fehler |
| Der Antrag ist mit SHA-1 oder MD5 signiert | Warnung |
| Keine alternativen Namen - Browser ignorieren den Common Name, die meisten CAs übernehmen ihn als SAN | Warnung |
| Der Common Name ist nicht in den SANs wiederholt | Hinweis |
| Eine Organisationseinheit ist gesetzt - öffentliche CAs akzeptieren seit September 2022 keine mehr | Warnung |
Ein Antrag für interne Namen oder private IP-Adressen ist für eine interne CA in Ordnung; öffentliche CAs lehnen ihn ab. Der CSR-Generator des Toolkits warnt davor schon beim Tippen
- siehe CSR erstellen.
CSR erstellen - kostenloser CSR-Generator für Windows
CSR und privaten Schlüssel für einen TLS-Server, einen S/MIME-Benutzer oder Code Signing erstellen - Schlüssel im Windows-Schlüsselspeicher, als .key-Datei oder selbstsigniert.
Zertifikatsdateien umwandeln - CER, CRT, PEM und KEY in PFX und zurück
CER oder CRT plus KEY in PFX umwandeln oder eine PFX in .cer, .crt, vollständige Kette und .key zerlegen. Der Schlüssel wird vorher geprüft. 3DES für alte Windows Server.