Tạo CSR Online

Tính năng nổi bật

• Tạo khóa RSA 2048, 3072, 4096 bit hoặc ECDSA P-256, P-384 bằng Web Crypto của trình duyệt
• Tạo CSR PKCS#10 (RFC 2986) ký bằng sha256WithRSAEncryption cho RSA, ecdsa-with-SHA256 cho P-256 và ecdsa-with-SHA384 cho P-384
• Điền đủ các trường Subject: CN, O, OU, L, ST, C (mặc định VN), email; tiếng Việt có dấu được mã hóa UTF-8 đúng chuẩn
• Nhiều tên miền bổ sung (SAN) trong một CSR: tên miền thường, wildcard *.ten-mien.vn, tên miền tiếng Việt tự đổi sang punycode, địa chỉ IPv4 và IPv6
• Tự thêm tên miền chính vào SAN (tắt được), loại tên trùng, báo rõ tên không hợp lệ như wildcard ở giữa hay ký tự lạ
• Xuất khóa bí mật dạng PEM PKCS#8 (BEGIN PRIVATE KEY) dùng được cho Nginx, Apache, Node.js
• Dùng khóa có sẵn: dán PEM hoặc chọn tệp .key, nhận PKCS#8, RSA PRIVATE KEY (PKCS#1), EC PRIVATE KEY (SEC1); từ chối khóa RSA dưới 2048 bit và khóa có mật khẩu
• Phần tóm tắt CSR hiển thị Subject, danh sách SAN, loại khóa, thuật toán ký và lệnh OpenSSL để tự kiểm tra lại
• Nút Chép CSR, Tải .csr, Chép khóa, Tải .key, tên tệp đặt theo tên miền
• Mã hóa DER/ASN.1 viết riêng, đã kiểm thử bằng openssl req -verify với cả năm loại khóa: chữ ký hợp lệ, SAN đúng

Vì sao tạo CSR trên trình duyệt

Muốn mua hoặc gia hạn chứng chỉ SSL, bạn phải gửi cho nhà cung cấp một CSR, tức yêu cầu ký chứng chỉ chứa tên miền và khóa công khai của bạn. Cách quen thuộc là chạy lệnh openssl trên máy chủ, nhưng không phải ai cũng có quyền SSH, nhiều người dùng hosting chia sẻ, Windows không có sẵn OpenSSL, và cú pháp tham số SAN khá dễ nhầm. Nhiều trang tạo CSR online lại tạo khóa bí mật trên máy chủ của họ, nghĩa là bên thứ ba từng giữ khóa của bạn. Công cụ này tạo khóa và ký CSR hoàn toàn trong trình duyệt bằng Web Crypto, nên khóa bí mật chỉ tồn tại trên máy bạn. Giao diện có sẵn ô cho từng trường, tự xử lý wildcard, tên miền tiếng Việt và nhắc những lỗi hay gặp, nên bạn có CSR đúng ngay lần đầu.

Lợi ích khi sử dụng

• •Khóa bí mật được tạo và nằm trên máy bạn, không đi qua máy chủ nào
• •Không cần SSH, không cần cài OpenSSL, làm được cả trên Windows và điện thoại
• •Một CSR gồm nhiều tên miền và wildcard mà không phải viết tệp cấu hình openssl
• •Gia hạn chứng chỉ bằng khóa cũ khi máy chủ, thiết bị không cho đổi khóa dễ dàng
• •Tránh lỗi hay gặp như quên www trong SAN, mã quốc gia sai, khóa RSA quá ngắn
• •CSR và khóa ở định dạng PEM chuẩn, dùng ngay với Nginx, Apache, cPanel, DirectAdmin

Cách tạo CSR và khóa bí mật

1. 1Ở khung Thông tin chứng chỉ, gõ Tên miền chính (CN), ví dụ tanphatdigital.com, hoặc *.tanphatdigital.com nếu mua chứng chỉ wildcard.
2. 2Gõ các tên khác vào ô Tên miền bổ sung (SAN), mỗi dòng một tên, ví dụ www.tanphatdigital.com. Giữ ô Tự thêm tên miền chính vào SAN.
3. 3Điền Tổ chức (O), Bộ phận (OU), Thành phố quận huyện (L), Tỉnh thành phố (ST), Quốc gia (C) và Email nếu nhà cung cấp yêu cầu; chứng chỉ DV thường chỉ cần tên miền.
4. 4Ở khung Khóa bí mật, chọn Tạo khóa mới và Loại khóa (RSA 2048 nếu không chắc), hoặc chọn Dùng khóa có sẵn rồi dán PEM hay bấm Chọn tệp .key, .pem.
5. 5Bấm Tạo CSR. Đọc phần Tóm tắt CSR để kiểm tra Subject, SAN, loại khóa.
6. 6Bấm Tải .key để lưu khóa bí mật vào nơi an toàn trước, rồi bấm Chép CSR hoặc Tải .csr để gửi cho nhà cung cấp SSL.

CSR là gì, bên trong có gì

CSR (Certificate Signing Request) là tệp theo chuẩn PKCS#10, mô tả trong RFC 2986. Phần chính gồm phiên bản, tên chủ thể (Subject) như CN, O, L, ST, C, khóa công khai và một danh sách thuộc tính, trong đó thuộc tính extensionRequest mang phần mở rộng Subject Alternative Name chứa các tên miền. Toàn bộ phần này được ký bằng khóa bí mật tương ứng, để nhà cung cấp chứng chỉ (CA) biết người gửi thật sự giữ khóa bí mật của khóa công khai trong CSR. CSR không chứa khóa bí mật, nên gửi CSR qua email hay dán vào trang của nhà cung cấp là an toàn. Khi CA cấp chứng chỉ, chứng chỉ chứa đúng khóa công khai đó, và bạn cài chứng chỉ cùng khóa bí mật đã tạo ở bước này lên máy chủ. Mất khóa bí mật thì chứng chỉ vừa mua không dùng được, phải tạo CSR mới và xin cấp lại.

Chọn RSA hay ECDSA, độ dài khóa bao nhiêu

RSA 2048 bit là lựa chọn tương thích rộng nhất và là mức tối thiểu mà các CA công khai chấp nhận cho chứng chỉ SSL. RSA 3072 hoặc 4096 an toàn hơn về lý thuyết nhưng bắt tay TLS chậm hơn và tạo khóa lâu hơn; 4096 bit trên trình duyệt có thể mất vài giây. ECDSA P-256 cho mức an toàn tương đương RSA khoảng 3072 bit với khóa và chữ ký ngắn hơn nhiều, máy chủ xử lý nhanh hơn, được các trình duyệt hiện đại hỗ trợ; P-384 mạnh hơn nữa. Hãy kiểm tra nhà cung cấp SSL và thiết bị cũ của bạn (máy POS, thiết bị nhúng, phần mềm cũ) có hỗ trợ ECDSA không trước khi chọn. Nhiều máy chủ cài được cả hai chứng chỉ RSA và ECDSA cùng lúc để phục vụ mọi loại khách. Công cụ không tạo khóa Ed25519 vì các CA công khai chưa cấp chứng chỉ SSL cho loại khóa này.

CN, SAN và chứng chỉ wildcard

Trước đây trình duyệt đọc tên miền trong trường CN. Từ Chrome 58 năm 2017, Chrome bỏ hẳn việc đọc CN và chỉ kiểm tra danh sách Subject Alternative Name (SAN); các trình duyệt khác cũng làm tương tự. Vì vậy tên miền chính phải có mặt trong SAN, công cụ tự thêm vào nếu bạn để ô Tự thêm tên miền chính vào SAN. Ký tự đại diện * chỉ thay cho đúng một nhãn ở bên trái: *.tanphatdigital.com dùng được cho www.tanphatdigital.com, shop.tanphatdigital.com nhưng không dùng cho tanphatdigital.com hay a.b.tanphatdigital.com. Muốn dùng cả tên miền gốc thì thêm tanphatdigital.com vào SAN. Tên miền tiếng Việt có dấu được đổi sang dạng punycode bắt đầu bằng xn-- vì chứng chỉ chỉ lưu tên ASCII. Địa chỉ IP trong SAN hữu ích cho CA nội bộ; CA công khai rất hạn chế cấp chứng chỉ cho IP.

Các trường O, OU, L, ST, C có bắt buộc không

Với chứng chỉ DV (xác minh tên miền), CA chỉ kiểm tra quyền kiểm soát tên miền và thường bỏ qua O, L, ST; chứng chỉ cấp ra chỉ có CN. Với chứng chỉ OV và EV, CA xác minh thông tin tổ chức với giấy tờ doanh nghiệp, nên O, L, ST, C trong CSR nên khớp tên pháp lý và địa chỉ đăng ký, viết đúng như trên giấy tờ; một số CA tự sửa theo hồ sơ xác minh. Trường OU đã bị loại khỏi chứng chỉ SSL công khai từ tháng 9 năm 2022 theo quy định chung của CA/Browser Forum, nên CA sẽ bỏ qua dù bạn điền. Mã quốc gia C phải là 2 chữ cái theo ISO 3166, Việt Nam là VN; công cụ mã hóa trường này đúng kiểu PrintableString như RFC 5280 yêu cầu, các trường khác dùng UTF-8 để giữ dấu tiếng Việt. Email trong Subject là tùy chọn và nhiều CA không đưa vào chứng chỉ.

Giữ khóa bí mật an toàn

Khóa bí mật là thứ duy nhất chứng minh máy chủ của bạn là chủ chứng chỉ. Ai có khóa này cùng chứng chỉ có thể giả mạo website hoặc giải mã một số loại kết nối cũ. Sau khi tạo, hãy bấm Tải .key ngay, lưu vào thư mục chỉ quản trị viên đọc được trên máy chủ (ví dụ quyền 600 trên Linux) và một bản sao lưu được mã hóa. Không gửi khóa qua email, Zalo, Telegram, không dán vào phiếu hỗ trợ của nhà cung cấp; nhà cung cấp SSL chính danh không bao giờ cần khóa bí mật của bạn. Trang này không lưu khóa vào bộ nhớ trình duyệt, nên tải lại trang là khóa biến mất. Nếu nghi khóa bị lộ, hãy tạo khóa và CSR mới, xin cấp lại chứng chỉ và thu hồi chứng chỉ cũ.

Cài chứng chỉ sau khi nhận từ nhà cung cấp

Nhà cung cấp gửi lại tệp chứng chỉ (thường .crt hoặc .pem) và chuỗi chứng chỉ trung gian. Với Nginx, ghép chứng chỉ và chứng chỉ trung gian vào một tệp cho chỉ thị ssl_certificate, còn ssl_certificate_key trỏ tới tệp .key đã tải ở đây. Với Apache, dùng SSLCertificateFile và SSLCertificateKeyFile tương ứng. Trên cPanel, DirectAdmin, dán chứng chỉ và khóa bí mật vào mục SSL/TLS. Windows IIS cần tệp PFX, có thể ghép bằng lệnh openssl pkcs12 -export từ chứng chỉ và khóa. Khóa xuất ra ở dạng PKCS#8 (BEGIN PRIVATE KEY), được OpenSSL và các máy chủ dựa trên nó nhận trực tiếp. Sau khi cài, dùng công cụ kiểm tra SSL để xác nhận chứng chỉ, chuỗi trung gian và tên miền khớp nhau.

Gia hạn chứng chỉ: dùng lại khóa cũ hay tạo khóa mới

Khi gia hạn, nhiều CA cho phép dùng lại CSR hoặc khóa cũ, nhưng tạo khóa mới mỗi lần gia hạn là thói quen tốt vì giới hạn thiệt hại nếu khóa cũ từng bị lộ mà bạn không biết. Dùng lại khóa cũ hợp lý khi thiết bị khó thay khóa, khi bạn dùng khóa ghim (pinning) trong ứng dụng, hoặc khi chỉ muốn đổi chứng chỉ mà giữ nguyên cấu hình. Ở chế độ Dùng khóa có sẵn, công cụ đọc khóa PEM bạn dán, suy ra khóa công khai và ký CSR mới; khóa không bị gửi đi và trang không xuất lại khóa đó. Khóa đang đặt mật khẩu phải giải mã trước, ví dụ bằng lệnh openssl pkey. Công cụ chỉ nhận khóa RSA từ 2048 bit và ECDSA P-256, P-384, đúng các loại CA công khai chấp nhận.

Khác các công cụ SSL khác trên trang

Công cụ này chỉ tạo khóa và CSR để xin chứng chỉ từ một CA. Nó không tự ký chứng chỉ: muốn chứng chỉ tự ký cho môi trường thử nghiệm thì dùng công cụ tạo chứng chỉ SSL tự ký. Nó cũng không đọc chứng chỉ có sẵn: muốn xem nội dung một chứng chỉ hay CSR đã có, dùng công cụ giải mã chứng chỉ PEM. Phần mã hóa ASN.1/DER của CSR được viết riêng cho trang này và đã kiểm thử bằng lệnh openssl req -verify -noout -text với khóa RSA 2048, 3072, 4096 và ECDSA P-256, P-384, cả khóa tạo mới lẫn khóa PKCS#1, SEC1, PKCS#8 tạo bằng OpenSSL: chữ ký hợp lệ, Subject tiếng Việt và SAN hiển thị đúng. Bạn có thể tự chạy lại lệnh in ở phần Tóm tắt CSR để kiểm tra.

Câu hỏi thường gặp (FAQ)

Từ khóa liên quan

• tạo csr
• tạo csr online
• tạo csr để đăng ký ssl
• cách tạo csr
• csr generator
• tạo csr ssl
• csr là gì
• tạo private key ssl
• tạo csr wildcard
• tạo csr san nhiều tên miền
• tạo csr ecdsa
• tạo csr rsa 2048
• openssl tạo csr
• gia hạn ssl tạo csr
• csr và private key
• mất private key ssl
• pkcs10 csr
• subject alternative name
• tạo csr cho nginx
• tạo csr cho apache
• tạo csr cpanel