Gerador de Pedido de Assinatura do Certificado

Introdução da ferramenta

Uma solicitação de assinatura de certificado (CSR) é o primeiro passo para obter um certificado SSL/TLS. Para configurar HTTPS no site, você gera um arquivo CSR e o envia a uma autoridade certificadora (CA) para assinatura.

O gerador de CSR online deixa esse processo simples e seguro:

• Processamento local: o CSR é gerado no navegador, e a chave privada não sai do seu dispositivo
• Vários algoritmos: RSA (2048/3072/4096 bits) e ECDSA (P-256/P-384/P-521)
• Configuração flexível: vários domínios (SAN), domínios wildcard e outras opções
• Sem instalação: não é preciso instalar o OpenSSL nem outra ferramenta de linha de comando

Quando gerar um CSR

Gere um CSR quando:

1. Comprar um certificado SSL novo: primeira solicitação de certificado SSL/TLS para um domínio
2. Renovar um certificado que vai vencer: o certificado atual está perto do vencimento e precisa ser gerado de novo
3. Mudar os dados do domínio: você precisa alterar domínios ou os dados da organização no certificado
4. Chave comprometida: se houver suspeita de vazamento da chave privada, gere na hora um novo par de chaves e um novo CSR

Como escolher o algoritmo de hash do CSR

Os algoritmos de hash criam as assinaturas digitais do certificado. A escolha certa importa para a segurança. Este gerador de CSR oferece três algoritmos de hash usados hoje:

SHA-256 (recomendado)

O SHA-256 é o algoritmo de hash mais usado. Ele equilibra segurança e desempenho:

• Segurança: saída de 256 bits, suficiente contra os ataques conhecidos
• Compatibilidade: funciona em navegadores e sistemas operacionais atuais
• Desempenho: cálculo rápido, adequado à maioria dos casos
• Uso recomendado: a escolha em 99% dos casos

SHA-384

O SHA-384 oferece mais segurança, com um custo de cálculo um pouco maior:

• Segurança: saída de 384 bits, com margem de segurança maior
• Quando usar: setores com exigência muito alta, como finanças e saúde
• Compatibilidade: funciona nos sistemas atuais

SHA-512

O SHA-512 é o nível mais alto de segurança desta lista:

• Segurança: saída de 512 bits
• Impacto no desempenho: o cálculo e a verificação ficam mais lentos
• Quando usar: poucos casos, com exigência de segurança específica

Como escolher o algoritmo de assinatura do CSR

Ao gerar o CSR online, você escolhe um algoritmo de assinatura. As duas opções principais são RSA e ECDSA.

Algoritmo RSA

O RSA é o algoritmo de assinatura mais tradicional e mais usado:

Vantagens:

• Ampla compatibilidade: funciona em praticamente todos os dispositivos e navegadores, inclusive em sistemas antigos
• Maduro e estável: décadas de uso prático
• Suporte das CAs: todas as autoridades certificadoras aceitam RSA

Desvantagens:

• Chave grande: em geral, 2048 ou 4096 bits para manter a segurança
• Custo de desempenho: cifrar e decifrar é relativamente lento
• Certificado maior: o arquivo do certificado fica maior

Tamanhos de chave recomendados:

• 2048 bits: escolha padrão, segura e com bom desempenho, para a maioria dos casos
• 4096 bits: mais segurança, com impacto perceptível no desempenho, para exigências altas

Algoritmo ECDSA

ECDSA (Elliptic Curve Digital Signature Algorithm) é a opção mais moderna:

Vantagens:

• Chave compacta: uma chave ECDSA de 256 bits equivale, em segurança, a uma chave RSA de 3072 bits
• Bom desempenho: gerar e verificar a assinatura é mais rápido
• Menos banda: o certificado é menor e a transmissão é mais rápida
• Melhor em dispositivos móveis: combina com aparelhos com menos recursos

Desvantagens:

• Compatibilidade: alguns sistemas antigos não aceitam (por exemplo, Windows XP e Android 4.x ou anterior)
• Suporte das CAs: algumas autoridades certificadoras não aceitam ou cobram taxa extra

Curvas recomendadas:

• P-256 (secp256r1): escolha padrão, com amplo suporte
• P-384 (secp384r1): nível de segurança mais alto

Qual escolher

Como gerar um CSR com o OpenSSL

O gerador online é mais direto, mas também vale saber gerar o CSR na linha de comando. O OpenSSL é a ferramenta mais usada para isso.

Solicitação de assinatura RSA

# Generate 2048-bit RSA private key and CSR
openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key \
  -out domain.csr

# Generate 4096-bit RSA private key and CSR
openssl req -new -newkey rsa:4096 -nodes \
  -keyout domain.key \
  -out domain.csr

# Request configuration section
[req]
default_bits = 2048              # RSA key size in bits
prompt = no                      # Disable interactive prompts
default_md = sha256              # Hash algorithm for signature
distinguished_name = dn          # Reference to DN section below
req_extensions = req_ext         # Reference to extensions section

# Distinguished Name (certificate subject information)
[dn]
C = US                           # Country code
ST = California                  # State or Province
L = San Francisco                # Locality (city)
O = Example Company              # Organization name
CN = autossl.dev                 # Common Name (primary domain)

# Request extensions (additional certificate attributes)
[req_ext]
subjectAltName = @alt_names      # Reference to alternative names section

# Subject Alternative Names (additional domains for this certificate)
[alt_names]
DNS.1 = autossl.dev              # Primary domain
DNS.2 = www.autossl.dev          # Subdomain with www
DNS.3 = *.autossl.dev            # Wildcard for all subdomains

openssl req -new -nodes \
  -newkey rsa:2048 \
  -keyout domain.key \
  -out domain.csr \
  -config csr.conf

openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key -out domain.csr \
  -subj "/C=US/ST=California/L=San Francisco/O=Example Company/CN=autossl.dev"

Solicitação de assinatura ECDSA

# Generate ECDSA private key using P-256 curve
openssl ecparam -genkey -name prime256v1 -out domain.key

# Using P-384 curve
openssl ecparam -genkey -name secp384r1 -out domain.key

# Generate CSR based on private key
openssl req -new -key domain.key -out domain.csr

Conferir o CSR gerado

Depois de gerar o CSR, use estes comandos para conferir o conteúdo:

# View detailed CSR information
openssl req -text -noout -in domain.csr

# Verify CSR signature
openssl req -verify -in domain.csr

# Extract domain information from CSR
openssl req -noout -subject -in domain.csr

Perguntas frequentes

Qual é a relação entre o CSR e a chave privada?

Ao gerar um CSR, você cria um par de chaves: a chave privada e a chave pública. O CSR contém a chave pública e os dados de identidade. A chave privada fica só com você. A CA usa os dados do CSR para emitir o certificado, e esse certificado só funciona com a chave privada correspondente.

Dá para reutilizar o mesmo CSR?

Tecnicamente, sim, mas não é o recomendado. O melhor é gerar um par de chaves e um CSR novos a cada certificado. Se o certificado vencer ou precisar ser reemitido (por exemplo, ao trocar de CA), gere uma nova solicitação.

O que guardar depois de enviar o CSR?

Guarde o arquivo da chave privada. Depois que o certificado é emitido, você precisa dela para configurar o SSL/TLS. Sem a chave privada, o certificado não serve, e é preciso solicitar outro.

Qual a diferença entre a ferramenta online e a linha de comando?

Na função, não há diferença. O gerador de CSR usa a Web Crypto API para criar as chaves no navegador, com resultado compatível com o do OpenSSL. A ferramenta online é mais direta: não exige instalar software nem memorizar comandos.

Boas práticas

1. Tamanho da chave: no RSA, use pelo menos 2048 bits; no ECDSA, use P-256 ou superior
2. Renovação no prazo: não espere o certificado vencer. O recomendado é renovar 30 dias antes
3. Use SHA-256: sem uma exigência específica, SHA-256 é a melhor escolha
4. Inclua os SAN: se o site tem vários domínios (por exemplo, autossl.dev e www.autossl.dev), informe todos ao gerar o CSR
5. Proteja as chaves privadas: use permissões restritas no arquivo e, se fizer sentido, armazenamento criptografado
6. Faça backup da chave privada: guarde uma cópia em local seguro e proteja o backup também

Use o gerador de CSR para criar, com rapidez e segurança, a solicitação de assinatura do certificado do seu site.