Запрос CSR: как создать и что в нём указать
Запрос CSR это файл, который вы отправляете центру сертификации, чтобы получить SSL-сертификат: в нём лежат ваш открытый ключ и имя домена. Создают его одной командой openssl req, и в тот же момент появляется приватный ключ, который остаётся у вас и центру не передаётся.
Ответ за 30 секунд
Команда openssl req -new -newkey rsa:2048 создаёт два файла: ключ и запрос. Центру отправляют только запрос. Потерянный ключ восстановить нельзя: придётся создавать новый запрос и перевыпускать сертификат.
Бесплатный Let's Encrypt не требует CSR вручную, платные сертификаты выпускаются за 15-30 минут (на 19 октября 2026).
Как проверить CSR до отправки в центр сертификации2048минимум бит для ключа RSA
2файла: .key и .csr
1команда openssl req
01 · 1 мин
Что такое CSR и почему в нём нет приватного ключа#
CSR расшифровывается как Certificate Signing Request, запрос на подпись сертификата. Центр сертификации берёт из него две вещи: открытый ключ и данные, которые попадут в сертификат, прежде всего имя домена. Подписывает он именно их.
Приватный ключ в запрос не входит. Он создаётся рядом, лежит у вас на диске, и по нему сервер потом расшифровывает трафик. Пару запрос и ключ нельзя разделять: сертификат, выданный по запросу, подойдёт только к ключу, созданному вместе с ним. Подробнее о ключе: приватный ключ сертификата.
Бесплатный Let's Encrypt обычно обходится без ручного запроса: клиент вроде Certbot создаёт его сам, см. Certbot. Ручной CSR нужен для платных сертификатов и для серверов, которые умеют только загружать готовые файлы.
02 · 1 мин
Как создать CSR командой openssl req#
openssl req -new -newkey rsa:2048 -noenc \
-keyout example.com.key -out example.com.csr \
-subj "/C=RU/O=Example LLC/CN=example.com" \
-addext "subjectAltName=DNS:example.com,DNS:www.example.com"| Параметр | Что делает |
|---|---|
-new -newkey rsa:2048 | Создаёт новый ключ RSA на 2048 бит и запрос к нему |
-noenc | Оставляет ключ без пароля, чтобы веб-сервер стартовал сам |
-keyout, -out | Имена файлов для ключа и для запроса |
-subj | Данные субъекта в одной строке, без диалога с вопросами |
-addext | Добавляет расширение, здесь список имён сертификата (SAN) |
В OpenSSL 3 вместо устаревшего -nodes используют -noenc. В старой версии 1.1.1 напишите -nodes. Если ключ уже есть, возьмите его вместо создания нового: замените -newkey rsa:2048 -noenc -keyout ... на -key example.com.key.
03 · 1 мин
Какие поля заполнять в запросе CSR#
Для сертификата с проверкой только домена (DV) центр смотрит на одно: имена. Остальные поля можно оставить минимальными. Для OV и EV данные организации должны совпадать с документами, иначе центр откажет.
| Поле | Что писать | Для какого сертификата |
|---|---|---|
| CN (Common Name) | Основное имя, например example.com | Всех |
| subjectAltName | Все имена: корень, www, поддомены | Всех, браузеры смотрят именно сюда |
| O (Organization) | Название организации латиницей | OV и EV |
| C (Country) | Двухбуквенный код, RU | OV и EV |
Для Wildcard укажите в CN и SAN имя со звёздочкой, например *.example.com, и добавьте голый домен отдельной записью: звёздочка корень не покрывает. Чем отличаются типы проверки, описано на странице DV, OV и EV.
Инструмент · 1 мин
Как проверить CSR до отправки в центр сертификации#
Исправить имя в уже выпущенном сертификате нельзя, поэтому запрос читают заранее. Первая команда печатает содержимое, вторая проверяет подпись.
openssl req -in example.com.csr -noout -text
openssl req -in example.com.csr -noout -verifyВ выводе найдите блок Subject и расширение Subject Alternative Name: там должны быть все нужные имена. Если нужного имени нет, создайте запрос заново, правка на месте невозможна. Работу с другими командами openssl разбирает страница проверка через openssl.
Проверка CSR перед отправкой центру сертификации
Отмечайте пункты, подсказка покажет следующий шаг
05 · 1 мин
Что делать с CSR после создания#
- Откройте файл
example.com.csrтекстовым редактором и скопируйте всё, включая строки с BEGIN и END. - Вставьте текст в форму заказа сертификата у центра сертификации или хостинга и подтвердите владение доменом.
- Получите сертификат и поставьте его вместе с ключом. Для серверов: Nginx, Apache, IIS.
Если ключ потерян, а сертификат уже выдан, пара восстановлению не подлежит. Создайте новый запрос и перевыпустите сертификат: перевыпуск SSL-сертификата.
06 · 1 мин
Вопросы о запросе CSR#
Что такое CSR в SSL-сертификате?
Файл запроса на подпись: в нём открытый ключ и данные для сертификата. Его отправляют центру сертификации, а приватный ключ оставляют у себя.
Можно ли создать CSR без доступа к серверу?
Да, достаточно любой машины с OpenSSL, в том числе вашего компьютера. Главное сохранить созданный ключ и перенести его на сервер, где будет стоять сертификат.
Нужен ли CSR для бесплатного Let's Encrypt?
Вручную обычно нет: клиент протокола ACME, например Certbot, создаёт запрос сам. CSR нужен платным сертификатам и некоторым панелям.
Что значит ошибка «key values mismatch» после установки сертификата по CSR?
Сертификат поставлен с ключом из другого запроса. Найдите файл .key, созданный вместе с тем CSR, по которому заказан сертификат.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026; Документация OpenSSL 3.0: команда openssl req (-newkey, -noenc, -subj, -addext, -verify), docs.openssl.org/3.0/man1/openssl-req, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат