Veřejný klíč (CSR request)

Certificate signing request (CSR) je nezbytný k vystavení SSL certifikátu, protože obsahuje váš veřejný klíč pro váš budoucí certifikát.

Tento veřejný klíč vám vygeneruje správce vašich stránek (webhostingová společnost) nebo přímo administrátor serveru, kde je umístěna doména, na kterou se SSL certifikát bude instalovat.

Postup pro vygenerování CSR na nejpopulárnějších webových serverech Apache a IIS najdete níže.

Návody pro ostatní servery najdete na webu dané certifikační autority. Stačí si pouze vybrat vámi používanou platformu: Thawte, Symantec (VeriSign), GeoTrust, RapidSSL.

Údaje pro CSR request

V CSR requestu jsou kromě veřejného klíče také údaje o žadateli certifikátu. Ty musí PŘESNĚ odpovídat informacím o žadateli v objednávce.

Správci serveru pošlete tuto vyplněnou šablonu, podle které CSR request vygeneruje:

Pro vygenerování veřejného klíče je nutné znát následující:
Common name: přesný název domény
Organization: jméno firmy, majitele domény
Organizational unit: oddělení, účel
City/locality: město
State/province: stát
Country/region: kód země
Key Size: 2048 bit

Příklad uvedených informací:
Common name: www.zoner.cz
Organization: ZONER software, a.s.
Organizational unit: Internet
City/locality: Brno
State/province: Czech republic
Country/region: CZ
Key Size: 2048 bit

UPOZORNĚNÍ:

Pokud do objednávky jakéhokoliv certifikátu z naší nabídky uvedete doménu ve tvaru s "WWW" (www.zoner.cz), budete mít automaticky zabezpečen i její holý tvar (zoner.cz). Pokud nebudou oba tvary zabezpečeny, hrozí, že návštěvník použije tvar domény, který v certifikátu není uveden. Potom v prohlížeči uvidí chybové hlášení o certifikátu pro jinou doménu.

Vygenerování CSR pro Apache a nginx

Linuxové servery používají pro šifrování a práci s klíči knihovny OpenSSL. V nich na linuxovém serveru vygenerujete CSR request pro certifikát, který bude používat Apache či nginx server.

Po úspěšném připojení na server je potřeba vygenerovat CSR request - veřejný klíč. Je to žádost o certifikát, kterou musíte dodat certifikační autoritě, resp. ho musíte vložit do objednávky SSL certifikátů.</>

CSR vygenerujeme v OpenSSL. Abychom měli přehled o umístění certifikátů, uděláme pro ně složku ssl v adresáři /etc a přesuneme se do této nové složky.

mkdir /etc/ssl/test.cz && cd /etc/ssl/test.cz

Nyní se nacházíme v nově vytvořené složce. Následujícím příkazem spustíme OpenSSL a vygenerujeme privátní klíč o 2048 bitech.

openssl genrsa -out test.cz.key 2048

Privátní klíč slouží k dešifrování komunikace zašifrované certifikátem, a proto se k němu nikdo nepovolaný nesmí dostat. Povolíme k němu přístup pouze vlastníkovi a jako vlastníka nastavíme webový server, který s ním bude pracovat.

chmod 600 test.cz.key

chown www-data test.cz.key

Samotný veřejný klíč vygenerujte příkazem

openssl req -new -key test.cz.key -out test.cz.csr

Budete vyzváni k zadání několika údajů pro klíč a budoucí certifikát. Nejdůležitějším je Common name - název domény, na které certifikát poběží, a Country - CZ. Bez těchto údajů není možné certifikát zažádat. Pokud žádáte o testovací nebo DV certifikát, postačí tyto dva údaje. Pokud žádáte o certifikát s ověřením žadatele, je potřeba údaje vyplnit. Jejich význam najdete v článku Základy práce s OpenSSL - privátní klíč a CSR. Challenge password v posledním kroku nezadávejte.

Vytvořené CSR potřebujete zkopírovat do objednávky. Otevřete si ho v editoru nano a zkopírujte.

root@navod:/etc/ssl/test.cz# nano test.cz.csr

Zkratkou Ctrl+X se vraťte do terminálu a zkopírovaný text s CSR vložte do objednávky SSL certifikátu. Certifikát bude zažádán s vaším CSR. Jakmile proběhne ověření, v případě DV certifikátu a FreeSSL po potvrzení ověřovacího e-mailu, bude certifikát vydán a dorazí vám od SSLmarketu e-mailem.

Vygenerování CSR na Windows Serveru

Windows Server používá webový server IIS. Od verze 7 až po verzi 8.5 je generování CSR requestu prakticky stejné. Server vás v průvodci požádá o údaje vložené do CSR a pak uloží textový soubor s žádostí o certifikát.

Postup vygenerování CSR na IIS můžete shlédnout v našem videonávodu.

Vložení CSR do SSLmarketu

Vygenerovaný veřejný klíč vložte do administrativního rozhraní objednaného SSL certifikátu, ke kterému jste již obdrželi přístupy. Po přihlášení si zobrazte podrobnosti objednávky a u položky "Veřejný klíč (CSR)" vyberte možnost "Vložit nový".

Bude-li vložený veřejný klíč v pořádku, zobrazí se vám v administrativním rozhraní jeho veškeré podrobnosti. Obsah a správnost CSR requestu můžete ověřit též v našem nástroji pro kontrolu CSR.

V případě potřeby neváhejte kontaktovat naši zákaznickou podporu, která vám pomůže s výběrem certifikátu a jakýmkoliv dotazem.