Was ist ein CSR und wann brauchst du einen?
Ein CSR ist das Standardformat zum Bestellen eines SSL-/TLS-Zertifikats bei einer Certificate Authority (Lets Encrypt, DigiCert, Sectigo). Du fuellst Domain-Details aus, klickst Generate und bekommst zwei Dateien: einen CSR (an die CA schicken) und einen Private-Key (auf dem Server behalten, nie teilen).
Hier generierst du das Paar direkt im Browser. Wir unterstuetzen RSA 2048/3072/4096 und ECDSA P-256/P-384 (der moderne Default, kleinere Keys). SANs ergaenzen, wenn das Zertifikat www, api, blog usw. enthalten soll.
Zweiter Tab: bestehenden CSR einfuegen, wir dekodieren Subject, SANs und Algorithmus, du kannst ihn vor dem Senden an eine CA verifizieren.
Alles laeuft lokal. Der Private-Key wird im Browser generiert und nie uebertragen.
So nutzt du es
- Tab Generate: den Common Name (CN) eintragen, die Hauptdomain fuer das Zertifikat (z. B. example.de).
- Organization (O), Unit (OU), City (L), State (ST) und Country (C, ein 2-Buchstaben-ISO-Code: DE, AT, CH) ergaenzen.
- Das Feld SANs ist eine komma-getrennte Liste zusaetzlicher Domains (z. B. www.example.de, api.example.de). Die meisten Zertifikate decken mindestens "example.de" und "www.example.de" ab.
- Den Algorithmus waehlen: RSA 2048 fuer maximale Kompatibilitaet, ECDSA P-256 fuer Geschwindigkeit und moderne Stacks (Lets-Encrypt-Empfehlung 2025).
- Generate klicken, zwei Dateien bekommen: einen CSR (an die CA schicken, z. B. ins Lets-Encrypt-Control-Panel einfuegen) und einen Private-Key (auf dem Server behalten, nie teilen).
- Tab Decode: einen bestehenden CSR einfuegen (z. B. von OpenSSL generiert) und Subject, SANs und Algorithmus sehen. Vor dem Senden an eine CA verifizieren.
Wann du es nutzt
Fuenf typische Situationen, in denen du einen CSR generieren musst:
- Lets-Encrypt-Zertifikat fuer deinen eigenen Server. Die meisten nutzen certbot/acme.sh (automatische CSRs), bei manuellem Setup oder Sonderfaellen generierst du selbst.
- Kommerzielles SSL-Zertifikat von DigiCert, Sectigo, GlobalSign. Bezahlte Zertifikate verlangen immer einen CSR von deinem Server.
- **Wildcard-Zertifikat (*.example.de).** CN auf "*.example.de" setzen, um jede Subdomain abzudecken.
- Intranet-/Staging-Zertifikat. Der CSR wird von der internen CA deiner Firma signiert.
- Zertifikat auf einen neuen Server migrieren. Neuer CSR + neuer Key vermeidet, den alten Key zu exponieren.
Zum Inspizieren eines Live-Zertifikats den SSL-Zertifikats-Pruefer nutzen. Zum Generieren eines JWT-Signing-Keys den JWT-Schluesselpaar-Generator.