CSR生成
CSR Generator
サブジェクトの各項目とSANのエントリから、証明書署名要求とその秘密鍵を作ります。
ブラウザの中で鍵ペアとPKCS#10の証明書署名要求（CSR）を作ります。秘密鍵はこのタブのWebCryptoが作り、どこへも送りません。それ以外に受け入れられる形はありません。秘密鍵を見るCSR生成器は、自分で選んでもいない認証局と同じだからです。
鍵ペアはブラウザの WebCrypto が作り、秘密鍵はこのタブから出ません。サーバーへは何も送られません。
代表となるドメインです。認証局が実際に発行の基準にするのは下の SAN の一覧です。
ASCII 以外の文字もそのまま入れられます。UTF8String として符号化されます。
ISO 3166 の 2 文字。
改行かカンマで区切ります。ドメイン、ワイルドカード、IP アドレス、メールアドレス。証明書を有効にしたい名前をすべて書いてください。
使い方
サブジェクトを埋めます
CNは代表となるドメインで、O・OU・L・ST・Cは組織の項目です。ドメイン認証の証明書では、公開の認証局はたいてい見ません。ASCII以外の組織名も使えます。UTF8Stringとして符号化されます。
SANにすべての名前を並べます
ここが実際に効く部分です。ブラウザはCNをまったく見ず、SANの一覧だけを読みます（RFC 6125 §6.4.4）。証明書が覆うべきホスト名は全部ここに入れてください。頂点、www、ワイルドカード、IPアドレスまで。
鍵の種類を選びます
RSA 2048がいちばん広く互換で、RSA 3072は2030年以降に推奨される水準、EC P-256は鍵が短くハンドシェイクが速く、現行の環境ならどこでも対応しています。
離れる前に秘密鍵を保存します
秘密鍵はこのタブの中にしかありません。ダウンロードしてサーバーに置き、他の何からも読めないように権限を絞ってください。CSRだけでは何の役にも立ちません。
よくある質問
秘密鍵は本当にここに留まりますか
留まります。WebCryptoがタブの中で鍵ペアを作り、それを運び出すリクエストがありません。ダウンロードする前にタブを閉じれば消えます。安全である理由と消える理由が同じ性質です。
CNを入れたのに認証局に断られました
SANの一覧を見てください。いまはほとんどの認証局が、すべての名前がSANにあることを求め、CNだけの要求は名前が無いものとして扱います。「CNをSANにも含める」は、ほぼ常に有効のままでよい設定です。
ワイルドカード証明書にも使えますか
使えます。SANの一覧に*.example.comを入れてください。ただし覆うのは1段だけです。*.example.comはwww.example.comには一致し、a.b.example.comには一致しません。example.com自身も含まないので、別に並べる必要があります。
opensslのコマンドも一緒に出るのはなぜですか
この結果を突き合わせて確かめたり、代わりにサーバーで同じ要求を作れるようにするためです。確認用の openssl req -in server.csr -noout -text -verify は、ダウンロードしたファイルに実際に入っている内容をそのまま読み返します。
ここから渡せます
鍵ペア生成
Key Pair Generator
RSA・ECDSA・Ed25519の鍵ペアを作り、PEM・JWK・OpenSSHで書き出します。
証明書デコーダー
Certificate Decoder
PEMやDERの証明書・CSRを解いて、サブジェクト・SAN・有効期間・鍵用途とチェーンの手がかりを示します。
SSL証明書チェック
SSL Certificate Checker
ホストに接続して配信されている証明書チェーン・有効期限・対応プロトコルと暗号を表示し、チェーンの欠けを指摘します。
キーストア解析
Keystore Inspector
PKCS#12・JKS・PEMの束を開き、中に入っている証明書・チェーン・鍵のアルゴリズムを並べます。
次の一手
このツールが出したものをそのまま受け取れる道具です。
証明書デコーダー
Certificate Decoder
PEMやDERの証明書・CSRを解いて、サブジェクト・SAN・有効期間・鍵用途とチェーンの手がかりを示します。
鍵ペア生成
Key Pair Generator
RSA・ECDSA・Ed25519の鍵ペアを作り、PEM・JWK・OpenSSHで書き出します。
SSL証明書チェック
SSL Certificate Checker
ホストに接続して配信されている証明書チェーン・有効期限・対応プロトコルと暗号を表示し、チェーンの欠けを指摘します。
DNSレコード検索
DNS Lookup
A・AAAA・CNAME・MX・TXT・NS・SOA・SRV・CAA・PTRをDoHで引き、TTLとDNSSECの有無をCloudflareかGoogleのどちらかで表示します。
HTTPリクエスト作成
HTTP Request Builder
GET/POST/PUT/PATCH/DELETE/HEADをヘッダーと本文まで指定して送り、ステータス・ヘッダー・本文・所要時間を表示します（CookieとAuthorizationは転送しません）。
HTTPヘッダー確認
HTTP Header Inspector
URLを取得して、レスポンスヘッダーの全文・リダイレクトの連鎖・所要時間・使われた圧縮方式を表示します。