RSA 2048 是安全直到 ~2030 (NIST). RSA 4096 provides larger margin 但是 significantly slower. 为最多 web servers, 2048 是充分. 为 long-lived 根 certificates, use 4096 或 switch 到 ECDSA P-256.

Subject Alternative Name allows one certificate 到 cover 多个 domains (e.g., 示例.com, www.示例.com, api.示例.com). 现代 TLS requires SANs — 常见 Name 字段是已弃用和 ignored 通过当前 browsers.

生成 a Certificate Signing Request (CSR)

CSR contains 你的公共键和 identity 信息, sent 到 CA 到 obtain signed TLS certificate. Learn 需要 fields 和验证处理.

1

CSR (PKCS#10) contains: 公共键, distinguished name (CN, O, OU, C, etc.), 和签名通过 corresponding 私有键. CA verifies identity 和 returns signed certificate. 私有键从不 leaves 你的服务器.
2

RSA 工具 →
生成 an RSA key pair (2048 or 4096 bits). The private key stays on your server; the public key goes into the CSR. For ECDSA, use a P-256 or P-384 curve.
3

哈希计算器 →
Hash CSR 数据到验证完整性期间 transmission. CA 将验证 CSR 签名 (made 具有你的私有键) 到 confirm 你 own 键对.
4

Required CSR fields: CN (常见 Name — 你的域), O (Organization), C (Country, 2-letter). 为 SAN certificates, 列表所有 domains 在 Subject Alternative Names 扩展. 现代 browsers ignore CN 和 use 仅 SANs.

常见问题

RSA 2048 或 4096?: RSA 2048 是安全直到 ~2030 (NIST). RSA 4096 provides larger margin 但是 significantly slower. 为最多 web servers, 2048 是充分. 为 long-lived 根 certificates, use 4096 或 switch 到 ECDSA P-256.
什么是 SAN?: Subject Alternative Name allows one certificate 到 cover 多个 domains (e.g., 示例.com, www.示例.com, api.示例.com). 现代 TLS requires SANs — 常见 Name 字段是已弃用和 ignored 通过当前 browsers.