← 返回工具箱

SECURITY / PKCS#10

CSR 证书请求生成器

本地生成 RSA 私钥与 PKCS#10 请求，明确写入现代 TLS 所需的 SAN，并在下载前重新解析请求、验证签名和公钥指纹。

CSR 可以交给 CA，私钥绝对不能交：ZIP 中的私钥是未加密 PKCS#8。页面不上传数据，但下载目录、剪贴板、云同步和截图仍可能泄露它。正式服务器证书优先在最终部署环境生成私钥。

SUBJECT

证书主题

SUBJECT ALT NAME

域名与地址 SAN

无前缀按 DNS 处理；也支持 DNS:、IP:、email:、URI:。Unicode 域名请先转为 Punycode。

将写入 3 个去重后的 SAN 条目。

等待生成

提交前核对 CN、组织名称和所有 SAN。CSR 签名只能证明请求持有对应私钥，不会证明域名所有权，也不会自动签发证书。

SAN 才是现代主机名清单

example.com 与 www.example.com 是两个名字；通配符 *.example.com 也不覆盖 example.com 或多级 a.b.example.com。需要的名称应逐项写清。

保存私钥，不要重做

CA 签发出的证书必须与生成 CSR 时的私钥配对。丢失私钥后不能从 CSR 或证书恢复，只能重新生成密钥、CSR 并重新签发。

签发后再检查一次

拿到 CRT/PEM 后用证书解析器核对 SAN、有效期、Key Usage、公钥指纹和中间证书链，不能只看 CA 后台显示“已签发”。

RELATED TOOLS

接着处理

查看全部工具 →
证书解析器检查签发结果、SAN、用途、有效期和证书链。RSA 密钥生成器单独生成 OAEP、PSS 或 PKCS#1 PEM / JWK 密钥。IDN Punycode先把中文或其他 Unicode 域名转换成证书可用的 ASCII 名称。DNS 查询检查域名解析记录与验证所需 DNS 配置。

USE & REVIEW

CSR 证书请求生成器常见问题

查看全部工具指南 →

CSR 里包含私钥吗，可以直接发给证书机构吗？

CSR 不包含私钥，它包含 Subject、公钥、请求扩展和由对应私钥生成的签名，因此 CSR 可以提交给 CA。私钥文件不能提交、上传或发给客服；CA 签发的证书必须继续与生成该 CSR 时的同一把私钥配对。

为什么已经填写 CN，还必须设置 SAN？

现代 TLS 客户端使用 Subject Alternative Name 匹配域名和 IP，CN 主要保留为主题字段。只有 CN 而没有 SAN 的证书常会被浏览器判定为主机名无效。本页默认把有效域名 CN 同时写入 DNS SAN，但其他域名和 IP 仍要逐项添加。

*.example.com 通配符会覆盖哪些地址？

通常只覆盖一层子域名，例如 www.example.com 和 api.example.com；不覆盖裸域 example.com，也不覆盖 a.b.example.com。若两者都需要，应同时加入 example.com 与 *.example.com。不同内部客户端还可能有更严格规则，应在目标环境验证。

CSR 签名有效是否证明我拥有这个域名？

不能。签名有效只证明请求者持有与 CSR 公钥对应的私钥，防止请求内容被改动。域名控制权、组织身份和签发资格仍由 CA 通过 DNS、HTTP、邮箱或文件审核等流程验证，本页不会绕过这些检查。

丢失私钥后可以从 CSR 或证书恢复吗？

不可以。CSR 和签发证书都只包含公钥，无法反推出私钥。私钥丢失后只能重新生成密钥与 CSR，再让 CA 重新签发；若私钥可能泄露，还应撤销旧证书并检查部署、备份与访问记录。

CSR、主题信息和私钥会上传到服务器吗？

不会。RSA 密钥生成、PKCS#10 编码、SAN 校验、签名验证、指纹和 ZIP 都在当前浏览器完成。私钥仍会出现在页面内存和你主动下载的文件中；正式环境优先在最终服务器、KMS 或 HSM 内生成，减少导出和搬运。