فحص طلب CSR أو شهادة X.509 محلياً

تمييز تنسيقات الإدخال

يتضمّن طلب توقيع الشهادة CSR بيانات صاحب الطلب ومفتاحه العام وتوقيعه. أما شهادة X.509 الصادرة فتتضمّن أيضاً جهة الإصدار والرقم التسلسلي وفترة الصلاحية والامتدادات. لا يملك طلب CSR فترة صلاحية تمنحها جهة الإصدار. قد يظهر كلاهما بصيغة PEM حول بيانات DER مرمّزة باستخدام Base64.

فحص الحقول

افتح قارئ شهادات X.509 وطلبات CSR وألصق كتلة PEM كاملة مع علامتَي BEGIN وEND. تشير CERTIFICATE إلى شهادة وCERTIFICATE REQUEST إلى طلب توقيع. يحلّل المتصفح بنية ASN.1 محلياً دون الحاجة إلى تثبيت OpenSSL لهذا الفحص.

-----BEGIN CERTIFICATE REQUEST-----
(base64 DER data)
-----END CERTIFICATE REQUEST-----

مراجعة النتيجة

قارن بيانات صاحب الشهادة بالهوية المقصودة. في الشهادة الصادرة راجع المُصدر وتواريخ الصلاحية والأسماء البديلة إن وُجدت، ثم خوارزمية المفتاح العام وحجمه. في طلب CSR راجع الهوية والمفتاح قبل إرساله إلى جهة التصديق. قراءة البيانات لا تتحقّق من سلسلة الثقة أو الإلغاء ولا تثبت أن الموقع آمن.

فصل المفاتيح الخاصة

لا تُلصق كتلة PRIVATE KEY مطلقاً. قد تكشف الشهادات العامة أسماء داخلية أو تفاصيل المؤسسة؛ استخدم مثالاً عند المشاركة. الذكاء الاصطناعي الاختياري منفصل عن التحليل المحلي وقد يرسل البيانات خارج المتصفح بعد الموافقة. اختبر العمل دون اتصال قبل الاعتماد على نسخة مخزّنة أثناء معالجة مشكلة.

معايير الفحص القياسي (RFC 2986 وRFC 5280)

عند تشخيص مشكلات مصادقة TLS والشهادات الرقمية في بيئات الإنتاج، انتبه للقواعد التشفيرية التالية:

1. الأسماء البديلة (SAN) مقابل الاسم العام (CN): لم تعد متصفحات الويب الحديثة (وفقاً للمواصفة RFC 5280 وRFC 6125) تعتمد على حقل commonName. إذا لم تتضمن الشهادة أو طلب CSR ملحق subjectAltName الذي يحدد النطاقات أو عناوين IP، فسيرفض المتصفح الاتصال بالخطأ ERR_CERT_COMMON_NAME_INVALID.
2. إثبات حيازة المفتاح (POP): في طلبات CSR المتوافقة مع معيار PKCS#10 (RFC 2986)، يقوم المفتاح الخاص بالتوقيع على بنية CertificationRequestInfo. تتحقق الأداة من هذا التوقيع الذاتي للتأكد من أن صاحب الطلب يمتلك المفتاح الخاص المطابق للمفتاح العام قبل إرساله إلى هيئة إصدار الشهادات (CA).
3. قيود الاستخدام الإضافي للمفتاح (EKU): تحقق من معرفات OID الخاصة بالاستخدام للتأكد من تحديد serverAuth (1.3.6.1.5.5.7.3.1) لخوادم الويب أو clientAuth (1.3.6.1.5.5.7.3.2) للمصادقة الثنائية في بنية mTLS.