O que é um CSR e o que ele contém?

Uma solicitação PKCS#10: sua chave pública, a identidade que você reivindica (sujeito e SANs) e uma autoassinatura feita com sua chave privada provando que você a possui. A CA verifica e emite o certificado; a chave privada nunca sai do seu servidor.

Por que os SANs importam mais que o CN?

Os navegadores validam os hosts exclusivamente contra a lista de SANs; o CN é decoração herdada. Um CSR sem SANs gera um certificado que navegador nenhum aceita: o erro de CSR mais comum.

O que a verificação de assinatura prova?

Que a solicitação é internamente consistente: a chave pública embutida verifica a assinatura do próprio CSR, então os bytes são exatamente os que o dono da chave produziu. Uma falha quase sempre significa colagem truncada.

É seguro colar um CSR numa ferramenta do navegador?

Um CSR contém só informação pública, e este decodificador o analisa no seu dispositivo sem envio algum. A chave privada gerada junto é outra história: não vai a lugar nenhum, nunca.

Decodificador de CSR

Decodifique uma solicitação de assinatura de certificado PKCS#10 antes de mandá-la à CA: sujeito, SANs pedidos, tamanho de chave e verificação de assinatura.

O Decodificador de CSR roda inteiramente no seu navegador. As solicitações são decodificadas no seu dispositivo e nunca enviadas.

Abrir o Decodificador de certificados X.509

Sobre Decodificador de CSR

O Decodificador de CSR mostra exatamente o que uma solicitação de assinatura de certificado pede antes de você a comprometer com uma autoridade certificadora. Cole o bloco PEM e leia o nome distinto do sujeito campo a campo, os nomes alternativos solicitados — a parte que de fato determina quais hosts o certificado protegerá, porque os navegadores ignoram o CN —, o tipo e tamanho da chave pública e o algoritmo de assinatura. O decodificador também verifica a assinatura própria do CSR, o jeito mais rápido de pegar a falha clássica: uma solicitação truncada ou alterada entre o servidor que a gerou e o formulário onde foi colada. Avisos disparam para o que as CAs recusam: RSA abaixo de 2048 bits e ausência de SANs.

Recursos

Nome distinto completo em campos rotulados
Nomes alternativos solicitados: DNS, IP, e-mail
Tipo e tamanho de chave: RSA, EC com curva, Ed25519
Algoritmo de assinatura com nome, não só um OID
A verificação de assinatura pega colagens truncadas
Detecta certificados e chaves privadas colados por engano

Como usar Decodificador de CSR

Cole o PEM do CSR ou carregue o exemplo
Revise o sujeito e sobretudo a lista de SANs
Confirme que a chave e o algoritmo passam na régua da CA
O selo verde de assinatura significa colagem intacta

Exemplo

Entrada

CSR for example.com

Saída

CN=example.com · SANs: example.com, www.example.com · RSA 2048 · SHA256withRSA · signature verifies

A lista de SANs é o que o certificado vai proteger de verdade.

Erros comuns e solução de problemas

A assinatura não verifica. — Os bytes mudaram desde a geração: normalmente uma cópia truncada, um editor que requebrou linhas ou aspas tipográficas. Copie de novo direto do arquivo original.
Nenhum SAN aparece embora o CN nomeie o domínio. — Os navegadores ignoram o CN há anos; um certificado emitido de um CSR sem SANs não protege nada. Regenere com uma extensão subjectAltName com cada host.
Diz que o colado é um certificado, não um CSR. — BEGIN CERTIFICATE e BEGIN CERTIFICATE REQUEST são objetos distintos. Use um decodificador X.509 para certificados emitidos; esta ferramenta lê a solicitação anterior.

Perguntas frequentes

O que é um CSR e o que ele contém?: Uma solicitação PKCS#10: sua chave pública, a identidade que você reivindica (sujeito e SANs) e uma autoassinatura feita com sua chave privada provando que você a possui. A CA verifica e emite o certificado; a chave privada nunca sai do seu servidor.
Por que os SANs importam mais que o CN?: Os navegadores validam os hosts exclusivamente contra a lista de SANs; o CN é decoração herdada. Um CSR sem SANs gera um certificado que navegador nenhum aceita: o erro de CSR mais comum.
O que a verificação de assinatura prova?: Que a solicitação é internamente consistente: a chave pública embutida verifica a assinatura do próprio CSR, então os bytes são exatamente os que o dono da chave produziu. Uma falha quase sempre significa colagem truncada.
É seguro colar um CSR numa ferramenta do navegador?: Um CSR contém só informação pública, e este decodificador o analisa no seu dispositivo sem envio algum. A chave privada gerada junto é outra história: não vai a lugar nenhum, nunca.

Ferramentas relacionadas

Decodificador X.509 — Leia subject, validade, SANs e fingerprints de um certificado.
Verificador de Certificado e Chave — Verifique se um certificado SSL e uma chave privada formam um par, com fingerprints da chave pública.
Gerador de chaves SSH — Gere pares de chaves SSH Ed25519, RSA ou ECDSA no seu navegador e baixe-as.
Extrator PFX para PEM — Abra um arquivo .pfx/.p12 protegido por senha e divida-o em blocos PEM de certificado, cadeia e chave.
Conversor PPK ↔ PEM — Converta chaves SSH privadas entre PuTTY .ppk e OpenSSH/PEM (RSA e Ed25519), localmente no seu navegador.
Gerador de hash — SHA-256 / SHA-1 / SHA-384 / SHA-512 via Web Crypto API.