CSR 생성기

생성되는 것

두 개의 PEM 파일:

example.csr(공개, CA에 제출):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key(비공개, 서버에 보관):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

CSR은 소유 증명으로 개인 키로 서명됩니다. CA가 인증서를 발급하면 인증서의 공개 키는 CSR의 키와 일치하고, 그 키는 서버의 개인 키와 일치합니다.

이 생성기는 입력한 common name만 포함하고 SAN(주체 대체 이름) 확장이 없는 CSR을 만듭니다. 인증서가 여러 호스트 이름을 커버해야 한다면 CA의 도구를 사용하세요: Let’s Encrypt 같은 ACME 클라이언트가 요청을 만들어 주고, 대부분의 CA 웹 양식은 제출 시 추가 이름을 덧붙여 줍니다.

인증서 유형별 필드 요구 사항

Let’s Encrypt와 대부분의 자동 DV 발급자는 common name만 확인합니다. OV/EV 인증서를 발급하는 기업용 CA는 조직 정보를 사업자 등록 정보와 대조해 확인합니다.

키 크기 선택

공개 웹 서버에는 RSA 2048이 안전한 기본값입니다. 더 큰 보안 여유를 원하고 느린 키 생성, 핸드셰이크, 더 큰 인증서를 받아들일 수 있다면 3072 또는 4096비트를 선택하세요.

CSR이 틀리기 쉬운 부분

• 인증서가 호스트 이름을 커버하지 않음: 인증서가 방문한 정확한 이름을 커버하지 않으면 브라우저에 “NET::ERR_CERT_COMMON_NAME_INVALID” 오류가 표시됩니다. common name은 www를 사용한다면 그것을 포함한 전체 호스트 이름과 일치해야 합니다. 이 생성기는 CN 하나만 담은 요청을 만들므로 추가 이름이 필요하면 CA의 도구를 사용하세요.
• 와일드카드 제한: 와일드카드 *.example.com은 서브도메인 한 단계만 일치합니다. api.v2.example.com에는 일치하지 않습니다.
• 에이펙스와 와일드카드는 다른 이름: *.example.com은 example.com 자체를 커버하지 않습니다. 인증서에 둘을 별도의 이름으로 넣어야 합니다.
• IP 주소: 대부분의 공개 CA는 더 이상 IP 주소용 인증서를 발급하지 않으므로 호스트 이름을 사용해야 합니다.

생성 후

1. 개인 키를 안전하게 보관하세요. 권한 0600, 웹 서버 사용자 소유.
2. CSR을 CA의 웹 양식이나 CLI 도구에 붙여넣으세요(ACME를 통한 Let’s Encrypt는 보통 자동으로 처리합니다).
3. 서명된 인증서(및 중간 체인)를 받으세요.
4. 인증서 체인과 개인 키를 모두 서버에 설치하세요.
5. SSL 검사기로 확인하세요.