RSA 與 ECC · SPKI SHA-256 比較

檢查 CSR 與私密金鑰是否相符。

申請或安裝 SSL 憑證前，線上檢查 CSR 與私密金鑰是否相符。比對工具在瀏覽器本地比較公開金鑰，不會上傳私密金鑰。

僅在瀏覽器中匹配 · 不會上傳你的私密金鑰

貼上或上傳 CSR 和私密金鑰。

上傳的檔案在本地讀取。兩份輸入都留在此瀏覽器標籤頁中，清除或關閉頁面後會被丟棄。

憑證簽章請求

接受 .csr、.p10、.req、.pem 或 .der 格式的 PKCS#10 請求。

私密金鑰

接受 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 檔案。

比對結果將顯示在這裡

比對工具會提取兩份公開金鑰，比較正規化的 SPKI 位元組，並驗證 CSR 自簽章。

CSR 與私密金鑰預檢

簽發憑證前檢查這一對檔案。

CSR 包含公開金鑰，並由對應的私密金鑰簽章。檔名和網域不能證明兩個檔案屬於同一對。密碼學比較可以避免你提交一份已經沒有對應私密金鑰的請求。

避免為丟失的私密金鑰申請憑證

確認你仍然持有安裝由此 CSR 簽發的憑證所需的私密金鑰。

比較實際的金鑰

判斷依據是正規化公開金鑰位元組，而不是檔名、主體、網域或 PEM 排版。

金鑰材料保留在本地

解析、正規化、雜湊和比較都在目前瀏覽器標籤頁中完成。

檢查 CSR 與私密金鑰是否相符

如何檢查 CSR 和私密金鑰是否相符。

你需要完整的 CSR，以及你認為產生它的那把私密金鑰。不要只靠檔名是否相同來判斷。

01
新增完整的 CSR
貼上 PEM 內容，或上傳 .csr、.p10、.req、.pem 或 .der 格式的 PKCS#10 請求。
02
新增候選的私密金鑰
貼上 PEM 內容，或上傳未加密的 .key 或 .pem 檔案。內容只保留在此標籤頁中。
03
選擇檢查匹配
檢視“匹配”或“不相符”的結論、兩份 SPKI SHA-256 指紋，以及 CSR 簽章狀態。

比對結果

CSR 比對結果說明什麼。

匹配

CSR 包含由此私密金鑰推匯出的公開金鑰。請妥善保管私密金鑰，並把 CSR 提交給憑證頒發機構。

無匹配

兩把公開金鑰不一致。申請或安裝憑證前，請找到原始金鑰，或產生新的金鑰和 CSR。

無法解析

檢查 PEM 邊界行，確認兩份輸入都沒有被截斷。如果私密金鑰已加密，請在本地使用 OpenSSL。

公開金鑰比較

CSR 與私密金鑰比對工具如何工作。

比對工具會取出 CSR 內嵌的公開金鑰，並從你提供的私密金鑰推導公開金鑰。兩把金鑰都會先匯出為標準的 SubjectPublicKeyInfo (SPKI) DER，再比較內容。

它還會為每個 SPKI 值計算 SHA-256 指紋，便於核對判斷結果。此方法適用於 RSA 和支援的橢圓曲線金鑰；RSA 模數比較不適用於 ECC。

匹配能夠證明什麼

The CSR and private key contain the same public key
The CSR can be verified with its embedded public key
The private key can be used with a certificate issued from this CSR

匹配不能證明網域所有權，不能驗證 CSR 主體，也不能保證憑證一定能簽發。

使用 OpenSSL 檢查 CSR 與私密金鑰是否相符。

如果私密金鑰已加密，或你的政策不允許使用瀏覽器工具，請在受信任的電腦上執行這些命令。雜湊匹配表示公開金鑰相同。

CSR SPKI SHA-256

openssl req -in request.csr -pubkey -noout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

私密金鑰 SPKI SHA-256

openssl pkey -in private.key -pubout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

CSR 與私密金鑰不相符時該怎麼辦。

請檢查產生 CSR 的電腦、續期目錄、金鑰管理器、部署記錄和安全備份。續期可能產生了新私密金鑰，而舊的 CSR 或憑證仍使用原來的檔名。

無法從 CSR 還原私密金鑰。如果沒有正確的金鑰，請產生新的私密金鑰和 CSR，然後提交新請求，或請憑證頒發機構重新簽發憑證。

支援的格式與限制。

貼上 PKCS#10 CSR 的 PEM 或 Base64 DER，或上傳 .csr、.p10、.req、.pem 或 .der 檔案。私密金鑰可以貼上，或以 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 檔案上傳。支援的 EC 曲線為 P-256、P-384 和 P-521。

加密的私密金鑰、憑證、PFX/PKCS#12 包，以及硬體中不可匯出的金鑰有意不在本頁範圍內。請使用 OpenSSL 或你的金鑰管理系統處理這些格式。

相關 CSR 工具

CSR 解析工具

提交 CSR 前，解析主體、SAN、公開金鑰、簽章和申請的擴充。

Decode CSR

CSR 產生器

如果目前檔案不相符或原始金鑰已丟失，請在本地建立新的 CSR 和私密金鑰。

Generate CSR

憑證金鑰比對器

安裝到伺服器之前，把已簽發的 SSL 憑證與私密金鑰進行比對。

Check certificate & key

PKCS#1 / PKCS#8 轉換器

當伺服器要求不同的 PEM 標頭時，在 PKCS#1 和 PKCS#8 之間轉換私密金鑰與公開金鑰格式。

Convert key format

CSR 與私密金鑰比對常見問題

CSR 與私密金鑰的常見問題。

如何檢查 CSR 和私密金鑰是否相符？

貼上或上傳完整的憑證簽章請求和私密金鑰。比對工具會從每份輸入中提取公開金鑰，都轉換為正規化的 SubjectPublicKeyInfo 資料後進行比較。公開金鑰相同即表示 CSR 與私密金鑰匹配。

把私密金鑰貼上到此檢查工具是否安全？

比較在瀏覽器本地進行。CSR 和私密金鑰不會發送到我們的伺服器、不會被儲存，也不會寫入 URL。完成後請清空表單或關閉標籤頁。生產環境的金鑰請遵循組織的金鑰處理政策。

CSR 比對工具支援 RSA 和 ECC 金鑰嗎？

會。它比較的是正規化公開金鑰，而不是僅適用於 RSA 的模數方法，因此同時支援 RSA，以及 P-256、P-384 和 P-521 曲線上的 ECDSA 金鑰。

可以檢查加密的私密金鑰嗎？

此版本不要求也不解密私密金鑰通行密碼。金鑰已加密時，請使用本頁的 OpenSSL 命令，或在受信任的電腦上建立臨時的未加密副本，用完後立即刪除。

如果 CSR 和私密金鑰不相符，該怎麼辦？

查詢與 CSR 同時建立的私密金鑰。請檢查原始伺服器、續期目錄、金鑰管理器和備份。如果無法找回，請產生新的私密金鑰和 CSR，然後提交新的 CSR 或申請重新簽發憑證。

只比較 RSA 模數夠嗎？

模數比較適用於 RSA，但不適用於橢圓曲線金鑰。此比對工具會比較完整的正規化公開金鑰結構，並給出 SHA-256 指紋，對 RSA 和支援的 ECC 金鑰都能一致地工作。

此頁面可以檢查憑證和私密金鑰是否相符嗎？

不是。本頁專門用於對照私密金鑰檢查 CSR。請在把 CSR 發給憑證頒發機構之前使用。憑證匹配是另一項操作，不能根據名稱或檔名推斷。