Sectigo 網誌
數碼證書簽署請求（CSR）指南
數碼證書簽署請求（CSR）是申領 SSL/TLS 證書、保障線上通訊安全的關鍵步驟。檔案內包含申請人的核心資訊，例如完整網域名稱（FQDN）、機構名稱及公開密鑰。CSR 的生成流程會因平台而異，卻是公開密鑰基礎設施（PKI）中確保信任與真實性的重要機制。透過 OpenSSL、IIS Manager 等工具可簡化 CSR 建立程序，而校驗工具可在提交前確認內容準確無誤。Sectigo 透過生命週期管理方案簡化有關流程，引導用戶保障網站安全並選擇合適的 SSL 證書。
數碼證書是保障線上通訊與數據安全的必要元素。SSL/TLS 證書尤其能夠建立用戶信任，因為這類證書可保障網站安全，確保用戶的個人資料、財務資料等數據得到保護。
在現時威脅頻發的數碼環境中，SSL 證書的價值毋庸置疑，但申領 SSL 證書——尤其是選擇配合業務需要的合適證書——的流程有時會令人感到困惑，甚至十分挫敗。出現這個情況的部分原因是證書簽發流程一般需要提交大量資訊，而在申領數碼證書的過程中，最複雜也最核心的步驟就是提交數碼證書簽署請求（CSR）。
只要理解 CSR 的運作原理與重要性，就能更順利完成申請流程。為此，我們會全面介紹 CSR 的相關知識：CSR 的定義、重要性以及提交方法，協助您順利取得 SSL/TLS 證書。
甚麼是 CSR？
數碼證書簽署請求（CSR）是一段加密資訊，當中包含申請數碼證書的個人或機構的關鍵資訊。它提供了一套標準化方案，可透過編碼檔案將公開密鑰發送給證書頒發機構（CA）。
CSR 是 的核心組成部分，公開密鑰基礎設施（PKI）本質上是申請 SSL/TLS 證書的第一步。
CSR 包含哪些必填內容？
每份 CSR 都應包含數項用於識別申請人身份的關鍵要素：
機構的通用名稱（CN）。具體指完整網域名稱（FQDN），即絕對網域名稱，用於標示其在網域名稱系統（DNS）中的準確位置。該名稱必須與您在網頁瀏覽器輸入的內容完全一致，否則可能會收到安全錯誤提示。
機構名稱（O）. 請勿將機構名稱與通用名稱或 FQDN 混淆，機構名稱僅指對應公司的法定名稱或官方稱謂。如適用，該欄位應包含企業識別碼。在 CSR 中，機構名稱絕對不能使用縮寫。
機構單位（OU）. 負責管理該證書的公司/機構部門或分支機構。
所在地（L）. CSR 中應包含所在地詳細資訊，即您所在的城市。
州或省名稱（ST）. 您所在的州或省。
國家（C）. 您所在的國家。
電郵地址. 與該公司關聯的電郵地址。
除機構名稱和位置詳情外，每份 CSR 都包含一個公鑰，該公鑰是 SSL 證書最終所需密鑰對的其中一部分。建立 CSR 的過程本身就會生成這個公鑰，且公鑰會包含在 CSR 中。
在此過程中還會生成一個私鑰。與公鑰不同，私鑰不應包含在 CSR 中，也不應提供給證書頒發機構（CA）。您應當妥善保管私鑰，直至後續流程中實際安裝 SSL 證書時再使用。
密鑰類型和長度的相關資訊也會體現在 CSR 中。主流密鑰類型包括RSA 和 DSA，二者各有其明顯的優勢和潛在劣勢。RSA（Rivest–Shamir–Adleman）通常因驗證和加密速度快而被優先選用；DSA（數碼簽署算法）則用離散對數問題替代了 RSA 的質因數分解問題，在驗證和解密方面效率更高。選擇 RSA 時，優先使用 2048 位元的密鑰長度。CA/Browser Forum 規定了當前支援密鑰長度的基線要求。
CSR 範例
CSR 檔案通常可透過文字編輯器打開。檔案包含頁首和頁尾，用於識別證書申請的起止位置。當前的主流標準是基於 Base64 的 PEM（Privacy Enhanced Mail）格式。作為一種二進位到文字的編碼方案，它被廣泛認為是傳輸加密密鑰的事實標準格式。
下方我們提供了一個詳細範例，直觀展示您提交 CSR 時可能看到的內容：
-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----
這類純文本數據內容密集，直接瀏覽難度較高，因此我們提供了實用的CSR解碼工具。您可借助該工具輕鬆驗證CSR包含的詳情（例如前述的所在地或組織名稱）是否準確。
證書簽名請求（CSR）的重要性
CSR是獲取SSL/TLS證書流程中最早且最重要的步驟之一。CSR包含的信息可供證書頒發機構（CA）生成所請求的證書。
在很大程度上，CSR的核心作用在於信任：通過公佈並證實網站的真實性，這份材料在證書頒發機構（CA）與申請SSL證書的組織雙方之間，建立了不可或缺的信任基礎。證書頒發機構（CA）獲賦予驗證的權力與責任，絕不會輕率行使該權限。證書頒發機構（CA）正是通過CSR，推動公鑰基礎設施（PKI）體系下的各方信任。
從實際應用角度而言，CSR至關重要：如果沒有CSR，幾乎不可能從受信任的證書頒發機構（CA）處取得必需的SSL/TLS證書。這類證書對於贏得客戶信任十分關鍵——客戶需要確認自身的信息會被安全傳輸。證書簽名請求為這種信任關係奠定了基礎。
如何在不同平台生成CSR
了解CSR的價值後，就可以進入下一步：實際生成並提交正式請求。該操作可能存在一定複雜度，部分原因是不同平台上生成CSR代碼的操作會有所差異。每個平台都有各自的優勢與操作難點，下文我們重點介紹幾種最常見的方案：
OpenSSL
OpenSSL是一款開源命令行工具，是生成CSR的常用框架。它不僅因開源屬性受到青睞，還具備使用相對簡便的優勢。它常用於在Nginx和Apache網頁託管環境中生成CSR。該方案還特別適用於生成ECC CSRs（橢圓曲線加密證書簽名請求）。
在常用的 OpenSSL 方案下，所需指令如下：
openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr
出現提示後，可輸入前述 CSR 詳情，例如所在地和 FQDN。密碼並非必填項，但可作為提升安全性的有效可選設定。
IIS Manager
另一種常用方案涉及Microsoft’s Internet Information Services (IIS) Manager。請進入「連線」頁面中的IIS Manager，接著進入「伺服器憑證」選單，再打開「操作」頁面。
屆時可在「可分辨名稱屬性」頁面找到「申請憑證」工具，在該頁面提交 FQDN 及其他必要資訊。請務必留意密鑰位元長度和加密服務提供者的相關設定。
其他可選方案
部分機構傾向於使用特定平台生成 CSR。無論您需要使用哪種平台，我們都樂意在整個流程的每一步提供協助與指導。我們提供生成說明的其他可選平台包括：
常見問題與提示
建立 CSR 時，最常見的難題通常是讀取並理解推薦使用的 PEM 格式的實際請求內容。其他常見問題包括：
名稱資訊不準確。建立和提交 CSR 時，細節核對至關重要。這一點在名稱資訊（包括 FQDN 和涉事企業的法定名稱）上尤為重要。因此，需要使用解碼工具確認名稱資訊填寫準確。
申請多網域 SSL 憑證。當您需要為多個網域配置安全防護時，CSR 生成無需持續帶來困擾。如有疑問，可調整 OpenSSL 配置檔案以包含備用名稱或 SAN 名稱。需要說明的是，具體要求會因憑證類型和所需驗證級別的不同而存在差異。
測試並解碼CSR。為確保 CSR 可發送至目標憑證頒發機構（CA），請使用解碼工具驗證其格式是否正確。Sectigo 提供免費的CSR解碼器，您可在提交 CSR 時放心使用，順利完成獲取 SSL/TLS 憑證流程中最關鍵的步驟之一
使用Sectigo保護您的網站安全
現在您已經熟悉CSR流程，接下來需要確定使用哪些證書來保護您的網站。Sectigo不僅提供簡明易用的CSR流程，還提供多種數碼證書獲取與管理選項。我們的證書生命週期管理（CLM）解決方案可簡化相關流程，協助您大規模、可靠地保障身份安全。
我們還建議您閱讀我們關於各類SSL證書類型的參考資料，以便選出符合自身需求的證書。如果您想進一步了解CSR，以及CSR在獲取聯絡我們過程中發揮的作用，歡迎隨時SSL/TLS證書.