Gerador de CSR
CSR Generator
Gera uma solicitação de assinatura de certificado e sua chave privada a partir dos campos do titular e das entradas SAN — a chave privada nasce no seu navegador e nunca é enviada.
Gera um par de chaves e uma requisição de assinatura de certificado PKCS#10 no seu navegador. A chave privada é criada pelo WebCrypto nesta aba e nunca é enviada a lugar nenhum — que é o único arranjo aceitável, já que um gerador de CSR que vê a sua chave privada é uma autoridade certificadora que você não escolheu.
O par de chaves é gerado pelo WebCrypto no seu navegador e a chave privada não sai desta aba. Nada é enviado para servidor nenhum.
O domínio principal. As autoridades certificadoras na prática emitem pela lista SAN abaixo.
Nomes com caracteres fora do ASCII funcionam: eles são codificados como UTF8String.
Duas letras, ISO 3166.
Separados por quebras de linha ou vírgulas. Domínios, curingas, endereços IP, e-mails. Liste todo nome para o qual o certificado precisa valer.
Como usar
Preencha o sujeito
CN é o domínio principal; O, OU, L, ST e C são campos organizacionais que uma CA pública em grande parte ignora para um certificado validado por domínio. Nomes de organização com caracteres fora do ASCII são aceitos — são codificados como UTF8String.
Liste todos os nomes no campo SAN
Esta é a parte que importa. Os navegadores ignoram o CN por completo e leem só a lista SAN (RFC 6125 §6.4.4), então todo nome de host que o certificado precisa cobrir vai aqui — apex, www, curingas, endereços IP.
Escolha o tipo de chave
RSA 2048 é a mais compatível, RSA 3072 é o nível recomendado depois de 2030, e EC P-256 dá uma chave mais curta e um handshake mais rápido, com suporte em tudo o que é atual.
Salve a chave privada antes de sair
Ela existe só nesta aba. Baixe-a, coloque-a no servidor e mantenha o arquivo legível por nada mais — a CSR sozinha é inútil sem ela.
Perguntas frequentes
A chave privada fica mesmo aqui?
Fica. O WebCrypto gera o par na aba e não há requisição que o leve para fora. Feche a aba antes de baixar e ela some — que é a mesma propriedade que a torna segura.
O CN está preenchido, mas a CA rejeitou a requisição
Confira a lista SAN. A maioria das CAs hoje exige todo nome ali e trata uma requisição só com CN como se não nomeasse nada. Deixar “incluir o CN na lista SAN” ligado é quase sempre o certo.
Posso usar isto para um certificado curinga?
Pode — ponha *.example.com na lista SAN. Note que ele cobre um nível só: *.example.com casa com www.example.com e não com a.b.example.com, e não casa com example.com em si, então liste esse separadamente.
Por que há também um comando openssl?
Para você conferir este resultado, ou fazer a mesma requisição no servidor. A linha de verificação — openssl req -in server.csr -noout -text -verify — lê de volta exatamente o que está no arquivo que você baixou.
Pode receber de
Gerador de par de chaves
Key Pair Generator
Gera pares de chaves RSA, ECDSA ou Ed25519 e os exporta como PEM, JWK ou OpenSSH.
Decodificar certificado
Certificate Decoder
Analisa um certificado ou CSR em PEM ou DER e mostra o titular, SANs, validade, uso da chave e pistas sobre a cadeia.
Verificador de certificado SSL
SSL Certificate Checker
Conecta a um host, mostra a cadeia servida, a expiração, o protocolo e os cifradores suportados, e aponta falhas na cadeia.
Inspetor de keystore
Keystore Inspector
Abre pacotes PKCS#12, JKS ou PEM e lista os certificados, as cadeias e os algoritmos de chave que contêm.
Em seguida
Estas aceitam o que esta ferramenta produz, então o resultado pode ir direto.
Decodificar certificado
Certificate Decoder
Analisa um certificado ou CSR em PEM ou DER e mostra o titular, SANs, validade, uso da chave e pistas sobre a cadeia.
Gerador de par de chaves
Key Pair Generator
Gera pares de chaves RSA, ECDSA ou Ed25519 e os exporta como PEM, JWK ou OpenSSH.
Verificador de certificado SSL
SSL Certificate Checker
Conecta a um host, mostra a cadeia servida, a expiração, o protocolo e os cifradores suportados, e aponta falhas na cadeia.
Consulta de DNS
DNS Lookup
Consulta registros A, AAAA, CNAME, MX, TXT, NS, SOA, SRV, CAA e PTR por DoH, com TTL e o bit DNSSEC exibidos, via Cloudflare ou Google.
Cliente HTTP
HTTP Request Builder
Compõe e envia uma requisição GET/POST/PUT/PATCH/DELETE/HEAD com headers e corpo personalizados, e mostra status, headers, corpo e tempo — sem nunca repassar cookies ou Authorization.
Inspetor de headers HTTP
HTTP Header Inspector
Busca uma URL e mostra os headers completos da resposta, a cadeia de redirecionamentos, os tempos e a compressão usada.