Erstellung eines CSR und eines privaten Schlüssels

Ein SSL-Zertifikat besteht aus zwei Teilen: einem privaten Schlüssel, der auf dem Server geheim bleibt, und dem Zertifikat selbst, das den dazugehörigen öffentlichen Schlüssel sowie die Domain-Daten enthält. Um das Zertifikat zu beantragen, muss eine CSR (Certificate Signing Request, Zertifikatssignierungsanforderung) an die Zertifizierungsstelle gesendet werden. Die CSR enthält den öffentlichen Schlüssel und den Domainnamen, jedoch nicht den privaten Schlüssel.

Muss ich überhaupt ein CSR erstellen?

In vielen Fällen ist dies nicht der Fall:

Bei den kostenlosen Let’s Encrypt-Zertifikaten werden der Schlüssel und die CSR automatisch von AutoSSL oder dem ACME-Client (z. B. Certbot) erstellt.
Bei kostenpflichtigen Zertifikaten wählen Sie bitte im Kundenbereich den Modus „Autoinstall (via cPanel)“, sofern sich die Domain auf einem unserer cPanel-Hosting-Konten befindet: Das Portal erstellt den Schlüssel und den CSR und installiert das fertige Zertifikat. Siehe: Einrichtung und Neuausstellung eines kostenpflichtigen SSL-Zertifikats.

Ein eigenes CSR ist erforderlich, wenn Sie das Zertifikat auf einem anderen Server installieren (eigener VPS, anderer Anbieter, E-Mail-Server, Load-Balancer, Windows-Server) und den privaten Schlüssel dort erstellen möchten, wo Sie ihn verwenden werden. Dies ist die sicherste Lösung, da der Schlüssel auf diese Weise den Server niemals verlässt.

1. Möglichkeit: im Kundenbereich

Wenn Sie bei der Konfiguration des Zertifikats den Modus „Manual Enrollment“ wählen und keine eigene CSR einfügen, erstellt das Portal anhand der angegebenen Daten (Domain, Land, Stadt, Organisation) den privaten Schlüssel und die CSR. Den privaten Schlüssel können Sie nach der Ausstellung auf der Seite des Zertifikats über die Schaltfläche „Privaten Schlüssel herunterladen“ herunterladen; dieser muss zusammen mit dem Zertifikat installiert werden.

2. Möglichkeit: im cPanel

Melden Sie sich bei cPanel an und klicken Sie im Bereich „Sicherheit“ (Security) auf das SSL/TLS-Symbol.
Klicken Sie im Abschnitt „Zertifikatssignierungsanfragen (CSR)“ auf den Link „SSL-Zertifikatssignierungsanfragen generieren, anzeigen oder löschen“.
Behalten Sie bei „Schlüssel“ die Standardeinstellung „Neuen Schlüssel generieren“ bei.
Geben Sie die Domain (z. B. pelda.hu) und die URL www.pelda.hu in jeweils einer eigenen Zeile sowie die Daten Ihrer Organisation ein.
Klicken Sie auf die Schaltfläche „Generate“.

cPanel zeigt den CSR an (Text, der mit „-----BEGIN CERTIFICATE REQUEST-----“ beginnt); fügen Sie diesen bitte im Kundenbereich ein. Der private Schlüssel verbleibt in cPanel; bei der Installation des fertigen Zertifikats ordnet cPanel diesen automatisch dem Zertifikat zu.

3. Möglichkeit: Mit dem OpenSSL-Befehl

Auf Ihrem eigenen Server lassen sich der private Schlüssel und die CSR mit einem einzigen Befehl erstellen:

openssl req -new -newkey rsa:2048 -nodes \
  -keyout pelda.hu.key -out pelda.hu.csr \
  -subj "/C=HU/L=Budapest/O=Pelda Kft./CN=pelda.hu" \
  -addext "subjectAltName=DNS:pelda.hu,DNS:www.pelda.hu"

„pelda.hu.key“ ist der private Schlüssel, „pelda.hu.csr“ ist die CSR.
Der CN (Common Name) ist die Hauptdomain, der subjectAltName umfasst alle Domains, die in das Zertifikat aufgenommen werden.
Bei DV-Zertifikaten ist die Angabe der Organisation (O) nicht verpflichtend; bei OV- und EV-Zertifikaten geben Sie bitte den offiziellen Namen des Unternehmens an.

Zur Überprüfung können Sie den Inhalt des CSR wie folgt anzeigen:

openssl req -in pelda.hu.csr -noout -text

Was muss ich im CSR angeben?

Feld	Bedeutung	Beispiel
Common Name (CN)	Die Hauptdomain	`pelda.hu` oder `*.pelda.hu`
Organisation (O)	Offizieller Name des Unternehmens (im Falle von OV/EV)	`Pelda Kft.`
Organisationseinheit (OU)	Nicht obligatorisch; die Zertifizierungsstellen berücksichtigen dies nicht mehr.
Ort (L)	Stadt	`Budapest`
Status (ST)	Landkreis	`Pest`
Land (C)	zweistelliger Ländercode	`HU`

Bei Domains mit Umlauten geben Sie bitte die Punycode-Form der Domain an (beispielsweise „xn--plda-bpa.hu“ anstelle von „példa.hu“).

Der Schutz des privaten Schlüssels

Senden Sie Ihren privaten Schlüssel niemals per E-Mail, im Chat oder in einem Support-Ticket und laden Sie ihn nicht an einem öffentlich zugänglichen Ort (z. B. in einem Git-Repository) hoch.
Die Berechtigungen für die Schlüsseldatei sollten streng eingestellt sein, beispielsweise „chmod 600 pelda.hu.key“.
Bei jeder Neuausstellung empfiehlt es sich, einen neuen Schlüssel und eine neue CSR zu erstellen.
Sollte der Schlüssel verloren gegangen sein, kann das Zertifikat nicht mehr verwendet werden: Erstellen Sie einen neuen Schlüssel und eine neue CSR und lassen Sie das Zertifikat neu ausstellen. Sollte der Schlüssel in unbefugte Hände gelangt sein, lesen Sie bitte nach, was im Falle eines offengelegten privaten Schlüssels zu tun ist.