Что входит в CSR

PKCS#10 задает структуру CertificationRequestInfo, подпись и идентификатор алгоритма. Запрос обычно включает имя субъекта, публичный ключ и атрибуты, необходимые для будущего сертификата. Точный состав зависит от профиля и политики CA.

Формат важен.

Заявитель подписывает данные своим закрытым ключом. Эта подпись помогает подтвердить владение соответствующим ключом, но сама по себе не доказывает право на домен или организацию. Центр сертификации проводит собственную проверку, принимает решение и только после этого выпускает сертификат.

CSR не равен сертификату

В запросе нет готовой цепочки доверия и срока действия. CA может отказать, запросить проверку домена или изменить допустимые поля. После выпуска сертификат содержит публичный ключ и данные issuer; закрытый ключ в CSR не пересылается.

Если вместе с заявкой отправить private key, считайте его раскрытым и замените по процедуре. Храните ключ отдельно от запроса, не вставляйте его в тикет поддержки и не публикуйте в каталоге веб-сервера.

CSR может содержать requested extensions, например Subject Alternative Name, но CA сама определяет, какие поля принимает и что включает в сертификат. Перед отправкой проверьте subject и имена хостов по правилам услуги.

OpenSSL умеет сохранить CSR в PEM или DER. Перед отправкой проверьте Subject и имена из SAN на совпадение с доменами сайта. Ошибку в запросе обычно исправляют выпуском нового CSR, а не правкой уже выданного сертификата.

Как проверить файл запроса

OpenSSL req создает и читает PKCS#10 CSR; с опцией проверки можно проверить самоподпись запроса. Это не подтверждает, что CA примет заявку. Сверьте Subject Alternative Name, имена, тип ключа и алгоритм с правилами выбранной услуги.

Смотрите TLS, DNS и Subject Alternative Name. Использованы RFC 2986 и документация OpenSSL, проверенные 8 октября 2026 года; ключи и сертификаты не создавались.