CSR, privater Schlüssel und Zertifikat
Für ein Zertifikat erzeugst du zuerst ein Schlüsselpaar. Der private Schlüssel bleibt bei dir, der öffentliche wandert zusammen mit den Domainnamen in eine Zertifikatsanfrage (Certificate Signing Request, CSR). Die CA prüft die Domain, signiert und schickt dir das Zertifikat zurück. Es passt nur zu genau dem Schlüssel, aus dem der CSR entstanden ist.
Was in einen CSR gehört
- Namen (SAN): alle Domains, für die das Zertifikat gelten soll. Browser beachten nur diese Liste, der Common Name allein reicht seit Jahren nicht mehr. Das Werkzeug trägt ihn deshalb automatisch auch als SAN ein.
- Schlüssel: RSA 2048 ist der kompatible Standard. ECDSA P-256 ist kürzer, schneller und genauso sicher, und alle aktuellen Systeme unterstützen es.
- Organisation, Ort, Land: Nur für OV- und EV-Zertifikate wichtig. Bei domainvalidierten Zertifikaten (z. B. Let's Encrypt) ignoriert die CA diese Angaben.
Im Browser oder auf dem Server erzeugen?
Der Generator erzeugt Schlüssel und CSR per WebCrypto in deinem Browser, nichts wird übertragen. Wer den Schlüssel nie außerhalb des Servers haben möchte, nimmt den angezeigten OpenSSL-Befehl oder unter Windows die certreq-Vorlage. Dann bleibt der Schlüssel im Zertifikatsspeicher des Servers.
Key-Match: Passen Schlüssel und Zertifikat zusammen?
Fehlermeldungen wie „key values mismatch“ (nginx, Apache), „The certificate's private key is missing“ (IIS) oder „private key does not match public key“ heißen fast immer: Das Zertifikat gehört zu einem anderen Schlüssel, oft zu einem älteren CSR. Der Key-Match berechnet für jedes Zertifikat, jeden Schlüssel und jeden CSR den Fingerabdruck des öffentlichen Schlüssels und zeigt, was zusammengehört. Verschlüsselte PKCS#8-Schlüssel kannst du mit Passwort prüfen.
FAQ
Ist es sicher, den Schlüssel im Browser zu erzeugen?
Der Schlüssel entsteht mit WebCrypto, dem Zufallsgenerator deines Betriebssystems, und verlässt deinen Browser nicht. Wer es noch strenger möchte, nimmt den OpenSSL- oder certreq-Befehl und erzeugt den Schlüssel direkt auf dem Server.
RSA oder ECDSA?
ECDSA P-256 ist schneller und genauso sicher wie RSA 3072. Nimm RSA 2048, wenn sehr alte Clients oder Geräte (manche Drucker, alte Java-Versionen) mitspielen müssen.
Mein Zertifikat passt nicht zum Schlüssel. Was nun?
Leg Zertifikat, Schlüssel und gegebenenfalls CSR in den Key-Match. Gehören sie zu verschiedenen Schlüsseln, wurde das Zertifikat für einen anderen CSR ausgestellt. Such den passenden Schlüssel oder lass das Zertifikat mit einem neuen CSR neu ausstellen (Reissue), das ist bei den meisten CAs kostenlos.
Wie bekomme ich daraus eine PFX-Datei für Windows?
Lade Zertifikat und privaten Schlüssel im Zertifikat-Konverter hoch und wähle PFX. Die Kette wird dabei automatisch ergänzt.
Warum lehnt die CA meinen CSR ab?
Häufige Gründe sind interne Namen (.local, .intern) oder private IPs, ein RSA-Schlüssel unter 2048 Bit, eine fehlende SAN-Liste oder ein Schlüssel, der schon einmal verwendet wurde. Der Reiter „CSR prüfen“ zeigt diese Punkte an.