什么是证书签名请求（CSR）

什么是证书签名请求（CSR）

引用

网易

1.

https://m.163.com/dy/article/JM3LNTOG0518HLI8.html

证书签名请求（CSR）是使用SSL/TLS证书保护任何网站的关键部分。CSR是通过加密数据传输保护用户敏感信息的必需品。本质上，它是一段加密文本，其中包含重要详细信息，例如您的域名、组织和公钥。

什么是证书签名请求？

证书签名请求（CSR）是一段特殊格式的文本，其中包含有关您的网站或组织的关键信息。它在获取SSL/TLS证书方面起着至关重要的作用，而SSL/TLS证书对于加密Web服务器和客户端（如浏览器）之间的通信至关重要。

当您需要使用SSL/TLS保护您的网站时，第一步是生成CSR。然后，此请求将发送到证书颁发机构（CA）—负责颁发实际数字证书的受信任的第三方。CSR包含您的公钥（用于建立安全连接）以及有关您的域和组织的其他详细信息。

通过提交CSR，您实际上是在要求CA验证您的身份并颁发必要的数字证书以保护您的网站。如果没有此过程，您的网站将无法建立安全的HTTPS连接，这对于保护用户数据和提高SEO排名至关重要。

为什么需要证书签名请求？

无论您的网站还是内部网络系统需要SSL/TLS证书，CSR都是必需的。它如此重要的原因很简单：SSL/TLS证书提供加密，可保护在用户和您的网站之间传输的敏感数据。这对于电子商务网站、金融机构或任何处理个人信息的平台尤其重要。

此外，像Google这样的搜索引擎现在优先考虑使用HTTPS的网站，这意味着SSL证书可以直接提高您的SEO性能。有效的SSL证书还可以增强客户信任，因为它可以确保用户的数据不会被窃听或拦截。CSR是获取该证书的第一步。

证书签名请求如何工作？

证书签名请求的过程围绕公钥基础设施（PKI）展开。简单解释一下，它的工作原理如下：

1. 生成CSR：此步骤发生在托管您网站的服务器上。您将使用工具（如OpenSSL）来生成CSR文件。
2. 公钥和私钥对：创建CSR时，会同时生成公钥和私钥。公钥进入CSR，而私钥则安全地保存在您的服务器上。
3. 提交CSR：然后将CSR提交给证书颁发机构（CA）（例如沃通CA、DigiCert或Sectigo），以验证您的身份。
4. 验证：CA会验证您的CSR中的信息。对于域验证（DV）证书，这可能是对域所有权的简单检查，而组织验证（OV）和扩展验证（EV）证书则需要更彻底的验证。
5. 证书颁发：验证后，CA将颁发SSL/TLS证书，该证书将安装在您的服务器上。这允许您的网站通过HTTPS安全地传输数据。

此工作流程可确保您的CSR中的公钥与您服务器上的私钥匹配，从而使未经授权的各方无法解密敏感数据。

CSR中包含哪些信息？

证书签名请求包含几条重要信息，这些信息对于创建SSL证书至关重要：

• 通用名称（CN）：您的网站的完全限定域名（FQDN），例如www.example.com。
• 组织（O）：您的公司或组织的法定名称。
• 组织单位（OU）：组织内负责管理证书的部门（此字段为可选）。
• 国家/地区（C）：您所在国家/地区的两个字母的代码，例如“CN”代表中国。
• 州/省（S）：州或省的全名。
• 地区（L）：您的企业所在的城市或城镇。
• 电子邮件地址（可选）：一些CSR可能包含用于沟通目的的电子邮件地址。
• 公钥：这是CSR中最关键的部分。公钥嵌入证书中，用于加密和与客户的安全通信。

所有这些信息都编码在CSR中，然后使用私钥进行数字签名以确保其真实性。

公钥和私钥在CSR中的作用

创建CSR时，公钥和私钥之间的关系对于安全性至关重要。其工作原理如下：

• 公钥：公钥包含在CSR中，将成为SSL/TLS证书的一部分。它用于加密发送到您服务器的数据。任何人都可以访问公钥，但只有相应的私钥才能解密信息。
• 私钥：私钥保存在您的服务器上，绝不能与他人共享。私钥用于解密公钥加密的数据。如果其他人获得您的私钥，他们就有可能解密敏感信息，因此保护私钥至关重要。

本质上，公钥加密信息，而私钥解密信息。CSR确保您的公钥有效且可由证书颁发机构验证，然后证书颁发机构会颁发您的SSL证书。

如何生成证书签名请求

生成证书签名请求（CSR）取决于您使用的服务器环境。以下是创建CSR的一些常用方法：

OpenSSL（基于Linux/Unix的服务器）

OpenSSL是生成CSR和私钥的最流行工具之一。以下是分步示例：

运行以下命令生成CSR：

openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr

此命令将生成两个文件：

• yourdomain.key：私钥。
• yourdomain.csr：证书签名请求。

系统将提示您填写详细信息，例如域名（CN）、组织和国家。

cPanel（Web托管环境）

许多共享托管平台（例如使用cPanel的平台）都提供了内置的CSR生成工具：

1. 登录cPanel并转到SSL/TLS部分。
2. 单击生成新的CSR。
3. 在表格中填写您的域名和组织信息。
4. 生成CSR后，将其与私钥一起下载。

Windows服务器

如果您使用带有IIS（Internet信息服务）的Windows Server，则IIS管理器提供了一种创建CSR的简单方法：

1. 打开IIS管理器并导航到您的服务器。
2. 在服务器证书部分中，选择创建证书请求。
3. 填写必填字段，如域名、组织和公钥大小。
4. 保存CSR文件以提交给证书颁发机构。

这些只是生成CSR的几种方法，但不同平台的基本流程类似：输入您的域和组织详细信息，生成CSR，然后将其提交给证书颁发机构。

了解不同类型的证书签名请求

SSL证书有多种类型，每种证书的验证级别都不同。这些差异会影响CSR要求，但基本结构保持不变：

域验证（DV）证书

• 需要最少的验证——仅证明您控制域名。
• 通常使用仅具有通用名称（CN）（域名）的CSR。
• 最适合不处理敏感信息的小型网站或博客。

组织验证（OV）证书

• 除了证明域名所有权之外，证书颁发机构（CA）还将验证您组织的合法存在。
• CSR包括组织详细信息，例如公司名称和地址。
• 非常适合处理用户数据但不需要最高级别验证的企业。

扩展验证（EV）证书

• 最高级别的SSL验证。
• 需要对域名和组织进行广泛的验证。
• 您的CSR必须包含详细的组织信息。
• 通常由金融机构、大型公司和电子商务网站使用。

每种证书类型都有不同的用途，但它们都从生成CSR并提交验证开始。

证书签名请求的有效期是多长？

证书签名请求没有特定的到期日期，但其相关性与SSL证书的有效性相关。通常，SSL证书的有效期为一到两年，之后必须续订。

续订SSL证书时，最好生成新的CSR以确保最安全的加密实践。某些托管平台或CA可能会鼓励在续订时使用新的CSR以增加安全性。

您的CSR获得批准后会发生什么？

一旦您的证书签名请求获得批准并且证书颁发机构（CA）颁发了SSL证书，下一步就是安装。批准后将发生以下情况：

1. 安装SSL证书：收到证书后，将其安装在您的Web服务器上。具体过程取决于您的服务器类型，但这通常涉及通过cPanel上传证书文件，或通过SSH手动上传基于Linux的服务器证书文件。
2. 配置HTTPS：确保您的网站配置为使用HTTPS。这可能需要更新您网站的内部链接并设置从HTTP到HTTPS的自动重定向。
3. 测试SSL证书：安装后，通过使用HTTPS访问您的网站并使用SSL Labs的SSL Test等工具检查配置错误，验证SSL证书是否正常工作。

维护您的SSL证书对于您网站的持续安全性和可信度非常重要。