CSRデコーダー

デコーダーが表示する内容

CSRはASN.1構造（PKCS #10）です。デコーダーはそこから次の2つを読み取ります：

• サブジェクト：要求された識別名（Distinguished Name）の各フィールド。通常は国（C）、組織（O）、組織単位（OU）、所在地（L）、都道府県（ST）、コモンネーム（CN）です。
• 公開鍵：アルゴリズム（RSA、EC、DSA）と鍵長（ビット数）。

CSRに含まれる署名は、提出者が対応する秘密鍵を保有していることをCAに証明するものです。このデコーダーは署名を表示しません。署名の検証はCAが要求を処理する際に行います。

出力例

一般的なドメイン証明書の要求では、出力は次のようになります：

Subject: commonName=www.example.com, organizationName=Example Inc., countryName=US
Key bits: 2048
Key type: RSA

サブジェクトの属性名の正確な表記は、要求の生成方法によって異なります。

確認するフィールド

• コモンネーム（CN）：主要なホスト名にすべきです。最近のブラウザはCNを無視してSANのみを参照しますが、多くのCAは依然として有効なCNを要求します。
• サブジェクト代替名（SAN）：証明書が保護するすべてのホスト名とワイルドカードを列挙します。ブラウザはCNではなくSANと照合します。
• 国（C）：完全な名称ではなく、2文字のISOコード（US、GB、DE）です。CAは誤ったコードを拒否します。
• 鍵サイズ：RSA 2048が下限で、より高いセキュリティには3072または4096を使います。ECDSA P-256は優れた現代的な代替案で、より小さな証明書を生成します。
• 署名アルゴリズム：SHA-256以上。SHA-1はとうに非推奨であり、拒否されます。

サブジェクト代替名（SAN）について

デコーダーは要求のサブジェクトを表示しますが、SAN拡張は表示しません。ブラウザはCNではなくSANと証明書を照合するため、証明書に追加のホスト名が必要な場合は、要求を生成するときに含めてください。例：

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

デコーダーがCSRを解析できない場合

最も多い原因は、PEMブロックの欠落や破損です：

• テキストが切れている：両方のマーカーを含む完全なブロックを貼り直してください。
• 改行が挿入されている：生成されたままの形でブロックを貼り付けてください。
• 内容が違う：誤って公開鍵や証明書、秘密鍵を貼り付けた場合、CSRとして解析できません。

対応する鍵の生成

CSRは常に秘密鍵とともに生成されます。典型的なコマンド：

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

またはECDSAの場合：

openssl req -new -newkey ec:<(openssl ecparam -name prime256v1) -nodes -keyout example.key -out example.csr

秘密鍵は厳重に保護してください。漏洩した場合は証明書を失効させる必要があります。