Generator für Zertifikatsignierungsanforderungen

Das Werkzeug

Eine Zertifikatsignierungsanforderung (CSR) ist der erste Schritt zu einem SSL/TLS-Zertifikat. Wenn Sie HTTPS für Ihre Website einrichten, erzeugen Sie zuerst eine CSR-Datei und reichen sie bei einer Zertifizierungsstelle (CA) zur Signatur ein.

Unser Online-CSR-Generator macht diesen Ablauf einfach und sicher:

• Vollständig lokale Verarbeitung: Die CSR-Erzeugung findet in Ihrem Browser statt. Der private Schlüssel verlässt Ihr Gerät nicht.
• Mehrere Algorithmen: Unterstützt RSA (2048/3072/4096 Bit) und ECDSA (P-256/P-384/P-521).
• Flexible Konfiguration: Fügen Sie mehrere Domains (SAN), Wildcard-Domains und weitere Angaben hinzu.
• Keine Installation: Sie müssen weder OpenSSL noch andere Kommandozeilenwerkzeuge installieren. Den CSR erzeugen Sie direkt im Browser.

Wann brauchen Sie einen CSR?

Einen CSR brauchen Sie, wenn:

1. Sie ein neues SSL-Zertifikat beantragen: erstmaliger SSL/TLS-Antrag für eine Domain.
2. Ein Zertifikat abläuft und verlängert werden soll: Das bestehende Zertifikat läuft bald ab und muss neu erzeugt werden.
3. Sich Domainangaben ändern: Sie müssen Domainnamen oder Organisationsdaten im Zertifikat ändern.
4. Ein Schlüssel kompromittiert ist: Wenn Sie vermuten, dass der private Schlüssel bekannt wurde, erzeugen Sie sofort ein neues Schlüsselpaar und einen neuen CSR.

Hash-Algorithmus für den CSR wählen

Hash-Algorithmen erzeugen die digitale Signatur von Zertifikaten. Die Wahl beeinflusst die Sicherheit des Zertifikats. Unser CSR-Generator unterstützt drei verbreitete Hash-Algorithmen:

SHA-256 (empfohlen)

SHA-256 ist derzeit der am weitesten verbreitete Hash-Algorithmus und bietet das beste Verhältnis von Sicherheit und Leistung:

• Sicherheit: 256-Bit-Ausgabe, ausreichend gegen alle bekannten Angriffe.
• Kompatibilität: Wird von allen modernen Browsern und Betriebssystemen unterstützt.
• Leistung: Schnelle Berechnung, geeignet für die meisten Fälle.
• Empfehlung: In 99 % der Fälle die richtige Wahl.

SHA-384

SHA-384 bietet eine höhere Sicherheit bei etwas mehr Rechenaufwand:

• Sicherheit: 384-Bit-Ausgabe, größerer Sicherheitsabstand.
• Einsatz: Branchen mit besonders hohen Anforderungen, etwa Finanzwesen und Gesundheitswesen.
• Kompatibilität: Wird von allen modernen Systemen unterstützt.

SHA-512

SHA-512 bietet das höchste Sicherheitsniveau:

• Sicherheit: 512-Bit-Ausgabe, die stärkste Absicherung.
• Leistung: Berechnung und Prüfung sind vergleichsweise langsamer.
• Einsatz: Nur wenige Fälle mit besonderen Sicherheitsanforderungen.

Signaturalgorithmus für den CSR wählen

Wenn Sie einen CSR online erzeugen, wählen Sie einen Signaturalgorithmus. Es gibt zwei gängige Möglichkeiten: RSA und ECDSA.

RSA

RSA ist der traditionellste und am weitesten verbreitete Signaturalgorithmus:

Vorteile:

• Breite Kompatibilität: Wird von nahezu allen Geräten und Browsern unterstützt, auch von älteren Systemen.
• Ausgereift: Seit Jahrzehnten praktisch erprobt.
• Breite CA-Unterstützung: Alle Zertifizierungsstellen unterstützen RSA.

Nachteile:

• Große Schlüssel: Für ausreichende Sicherheit sind in der Regel 2048-Bit- oder 4096-Bit-Schlüssel nötig.
• Rechenaufwand: Ver- und Entschlüsselung sind vergleichsweise langsam.
• Größere Zertifikate: Die erzeugten Zertifikatsdateien sind größer.

Empfohlene Schlüssellängen:

• 2048 Bit: Standardwahl, sicher und leistungsfähig, für die meisten Fälle geeignet.
• 4096 Bit: Höhere Sicherheit mit spürbarem Einfluss auf die Leistung, für besonders hohe Anforderungen.

ECDSA

ECDSA (Elliptic Curve Digital Signature Algorithm) ist die modernere Wahl:

Vorteile:

• Kompakte Schlüssel: Ein 256-Bit-ECDSA-Schlüssel entspricht in der Sicherheit ungefähr einem 3072-Bit-RSA-Schlüssel.
• Hohe Leistung: Signatur und Prüfung sind schneller.
• Geringer Datenumfang: Kleinere Zertifikate, schnellere Übertragung.
• Geeignet für Mobilgeräte: Passt besser zu Geräten mit begrenzten Ressourcen.

Nachteile:

• Kompatibilität: Einige ältere Systeme unterstützen ECDSA nicht, zum Beispiel Windows XP und Android 4.x und älter.
• CA-Unterstützung: Manche Zertifizierungsstellen unterstützen ECDSA nicht oder berechnen Aufpreise.

Empfohlene Kurven:

• P-256 (secp256r1): Standardwahl, weit unterstützt.
• P-384 (secp384r1): Höheres Sicherheitsniveau.

Welche Wahl passt?

CSR mit OpenSSL erzeugen

Der Online-Generator ist bequem. Es ist trotzdem nützlich zu wissen, wie Sie einen CSR mit der Kommandozeile erzeugen. OpenSSL ist das gebräuchlichste Werkzeug dafür.

RSA-Zertifikatsignierungsanforderung

# Generate 2048-bit RSA private key and CSR
openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key \
  -out domain.csr

# Generate 4096-bit RSA private key and CSR
openssl req -new -newkey rsa:4096 -nodes \
  -keyout domain.key \
  -out domain.csr

# Request configuration section
[req]
default_bits = 2048              # RSA key size in bits
prompt = no                      # Disable interactive prompts
default_md = sha256              # Hash algorithm for signature
distinguished_name = dn          # Reference to DN section below
req_extensions = req_ext         # Reference to extensions section

# Distinguished Name (certificate subject information)
[dn]
C = US                           # Country code
ST = California                  # State or Province
L = San Francisco                # Locality (city)
O = Example Company              # Organization name
CN = autossl.dev                 # Common Name (primary domain)

# Request extensions (additional certificate attributes)
[req_ext]
subjectAltName = @alt_names      # Reference to alternative names section

# Subject Alternative Names (additional domains for this certificate)
[alt_names]
DNS.1 = autossl.dev              # Primary domain
DNS.2 = www.autossl.dev          # Subdomain with www
DNS.3 = *.autossl.dev            # Wildcard for all subdomains

openssl req -new -nodes \
  -newkey rsa:2048 \
  -keyout domain.key \
  -out domain.csr \
  -config csr.conf

openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key -out domain.csr \
  -subj "/C=US/ST=California/L=San Francisco/O=Example Company/CN=autossl.dev"

ECDSA-Zertifikatsignierungsanforderung

# Generate ECDSA private key using P-256 curve
openssl ecparam -genkey -name prime256v1 -out domain.key

# Using P-384 curve
openssl ecparam -genkey -name secp384r1 -out domain.key

# Generate CSR based on private key
openssl req -new -key domain.key -out domain.csr

Erzeugten CSR prüfen

Prüfen Sie den CSR nach der Erzeugung mit diesen Befehlen:

# View detailed CSR information
openssl req -text -noout -in domain.csr

# Verify CSR signature
openssl req -verify -in domain.csr

# Extract domain information from CSR
openssl req -noout -subject -in domain.csr

Häufige Fragen

Wie hängen CSR und privater Schlüssel zusammen?

Wenn Sie einen CSR erzeugen, entsteht ein Schlüsselpaar: ein privater Schlüssel und ein öffentlicher Schlüssel. Der CSR enthält den öffentlichen Schlüssel und Ihre Identitätsangaben. Den privaten Schlüssel müssen Sie geheim halten. Die CA stellt anhand der Angaben im CSR ein Zertifikat aus. Es lässt sich nur mit dem zugehörigen privaten Schlüssel verwenden.

Kann derselbe CSR wiederverwendet werden?

Technisch ja, empfohlen ist es nicht. Erzeugen Sie für jeden neuen Zertifikatsantrag ein neues Schlüsselpaar und einen neuen CSR. Wenn ein Zertifikat abläuft oder neu ausgestellt werden muss, etwa beim Wechsel der CA, sollten Sie eine neue Zertifikatsignierungsanforderung erzeugen.

Was müssen Sie nach dem Einreichen des CSR aufbewahren?

Die Datei mit dem privaten Schlüssel müssen Sie behalten. Nach der Ausstellung brauchen Sie den privaten Schlüssel, um SSL/TLS zu konfigurieren. Geht er verloren, können Sie das Zertifikat nicht verwenden und müssen es neu beantragen.

Worin unterscheiden sich Online-Werkzeug und Kommandozeile?

Funktional gibt es keinen Unterschied. Unser CSR-Generator nutzt die Web Crypto API und erzeugt Schlüssel im Browser. Das Ergebnis ist mit OpenSSL kompatibel. Der Vorteil des Online-Werkzeugs ist die übersichtliche Bedienung: Sie installieren keine Software und müssen sich keine Befehle merken.

Bewährte Vorgehensweisen

1. Schlüssellänge: Verwenden Sie bei RSA mindestens 2048 Bit und bei ECDSA P-256 oder höher.
2. Rechtzeitig verlängern: Warten Sie nicht bis zum Ablauf. Eine Verlängerung 30 Tage vorher ist empfehlenswert.
3. SHA-256 verwenden: Ohne besondere Vorgaben ist SHA-256 die beste Wahl.
4. SAN ergänzen: Hat Ihre Website mehrere Domains, etwa autossl.dev und www.autossl.dev, nehmen Sie alle Domains beim Erzeugen des CSR auf.
5. Private Schlüssel schützen: Setzen Sie enge Dateirechte und ziehen Sie eine verschlüsselte Speicherung in Betracht.
6. Private Schlüssel sichern: Legen Sie eine Sicherung an einem sicheren Ort ab und schützen Sie auch die Sicherung.

Erzeugen Sie jetzt mit unserem CSR-Generator schnell und sicher Zertifikatsignierungsanforderungen für Ihre Website.