Generatore di CSR
CSR Generator
Genera una richiesta di firma del certificato e la relativa chiave privata a partire dai campi del soggetto e dalle voci SAN.
Genera una coppia di chiavi e una richiesta di firma del certificato PKCS#10 dentro il browser. La chiave privata è creata da WebCrypto in questa scheda e non viene mai inviata da nessuna parte — che è l’unica sistemazione accettabile, visto che un generatore di CSR che vede la chiave privata è un’autorità di certificazione che non si è scelta.
La coppia di chiavi la genera WebCrypto nel tuo browser e la chiave privata non lascia questa scheda. Al server non viene mandato niente.
Il dominio principale. Le autorità di certificazione in realtà emettono in base all’elenco SAN qui sotto.
I nomi con caratteri fuori dall’ASCII vanno bene: vengono codificati come UTF8String.
Due lettere, ISO 3166.
Separati da a capo o da virgole. Domini, wildcard, indirizzi IP, indirizzi e-mail. Elenca ogni nome per cui il certificato deve valere.
Come si usa
Compilare il soggetto
Il CN è il dominio principale; O, OU, L, ST e C sono campi organizzativi che una CA pubblica per lo più ignora in un certificato validato sul dominio. I nomi di organizzazione non ASCII vanno bene: vengono codificati come UTF8String.
Elencare ogni nome nel campo SAN
È questa la parte che conta. I browser ignorano del tutto il CN e leggono solo l’elenco SAN (RFC 6125 §6.4.4), quindi ogni nome host che il certificato deve coprire va qui: apice, www, caratteri jolly, indirizzi IP.
Scegliere il tipo di chiave
RSA 2048 è la più compatibile, RSA 3072 è il livello consigliato dopo il 2030, ed EC P-256 dà una chiave più corta e un handshake più rapido con un supporto ormai ovunque.
Salvare la chiave privata prima di andarsene
Esiste solo in questa scheda. Va scaricata, messa sul server e tenuta leggibile da nient’altro: da sola la CSR non serve a niente.
Domande frequenti
La chiave privata resta davvero qui?
Sì. WebCrypto genera la coppia dentro la scheda e non c’è nessuna richiesta che la porti fuori. Chiudendo la scheda prima di scaricarla, sparisce — che è la stessa proprietà che la rende sicura.
Il CN è compilato ma la CA ha rifiutato la richiesta
Va controllato l’elenco SAN. Quasi tutte le CA ora pretendono ogni nome lì dentro e trattano una richiesta con il solo CN come se non nominasse niente. Lasciare attivo «includere il CN nell’elenco SAN» è quasi sempre giusto.
Posso usarlo per un certificato con carattere jolly?
Sì: si mette *.example.com nell’elenco SAN. Da tenere presente che copre un solo livello: *.example.com corrisponde a www.example.com e non ad a.b.example.com, e non corrisponde a example.com stesso, che va elencato a parte.
Perché c’è anche un comando openssl?
Per poter verificare questo risultato, oppure per fare la stessa richiesta direttamente sul server. La riga di verifica — openssl req -in server.csr -noout -text -verify — rilegge esattamente quello che c’è nel file scaricato.
Può ricevere da
Generatore di coppie di chiavi
Key Pair Generator
Genera coppie di chiavi RSA, ECDSA o Ed25519 e le esporta in PEM, JWK o OpenSSH.
Decodificatore di certificati
Certificate Decoder
Analizza un certificato o una CSR in PEM o DER e mostra soggetto, SAN, validità, usi della chiave e indizi sulla catena.
Verifica del certificato SSL
SSL Certificate Checker
Si collega a un host, mostra la catena servita, la scadenza, il protocollo e i cifrari supportati, e segnala i buchi nella catena.
Ispettore di keystore
Keystore Inspector
Apre pacchetti PKCS#12, JKS o PEM ed elenca i certificati, le catene e gli algoritmi di chiave che contengono.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Decodificatore di certificati
Certificate Decoder
Analizza un certificato o una CSR in PEM o DER e mostra soggetto, SAN, validità, usi della chiave e indizi sulla catena.
Generatore di coppie di chiavi
Key Pair Generator
Genera coppie di chiavi RSA, ECDSA o Ed25519 e le esporta in PEM, JWK o OpenSSH.
Verifica del certificato SSL
SSL Certificate Checker
Si collega a un host, mostra la catena servita, la scadenza, il protocollo e i cifrari supportati, e segnala i buchi nella catena.
Interrogazione DNS
DNS Lookup
Interroga i record A, AAAA, CNAME, MX, TXT, NS, SOA, SRV, CAA e PTR via DoH, mostrando il TTL e il bit DNSSEC, con risolutore Cloudflare o Google.
Costruttore di richieste HTTP
HTTP Request Builder
Compone e invia una richiesta GET, POST, PUT, PATCH, DELETE o HEAD con intestazioni e corpo a piacere, e mostra stato, intestazioni, corpo e tempi — senza mai inoltrare i cookie né l’header Authorization.
Ispettore di intestazioni HTTP
HTTP Header Inspector
Richiede un URL e mostra tutte le intestazioni di risposta, la catena di redirect, i tempi e la compressione usata.