INSTRUKTIONER FÖR SSL-CERTIFIKAT

Specialtecken
De uppgifter som lämnas med certifikatbegäran får inte innehålla skandinaviska tecken (å, ä, ö) eller andra specialtecken.

Administrativ kontaktperson
Observera att när du anger en administrativ kontaktperson så måste denna person finnas tillgänglig. Detta för att kunna besvara ett telefonsamtal från oss för verifiering av lagd beställning. Om han/hon inte går att kontakta kommer certifikatleveransen att försenas.

Servernamn
Common Name (CN) eller Subject Alternative Name (SAN) har oftast formen www.foretag.se eller som en IP-adress 123.4.5.6. Adressen skall vara registrerad för aktuell server. Om man beställer ett wildcardcertifikat (*.domän.com), ska Common Name (CN) vara i formen en stjärna, en punkt och ett domännamn för vilket er organisation är ägare till (*.foretag.se). Det finns två sätt att skriva in namnet/namnen vid en certifikatbeställning:

  • Genom att skapa en Certificate Signing Request (CSR) med alla CN och SAN-värden. (SSL-Portal)
  • Genom att skapa Certificate Signing Request (CSR) med eller utan ett CN/SAN-värde de man kan addera fler värden i beställningsformuläret då certifikatet beställs. (Beställning via webb)
Icke tillåtna namn och IP-addresser
Det är inte tillåtet att använda interna namn. Domännamnet måste alltså finnas med i det officiella DNS-registret.
Tabellen nedan visar exempel på otillåtna värden:
CN/SAN värdeExempel
Oregistrerad domän.local
Ingen domänEXCHANGESERVER1
Privat IP-adress10.x.x.x169.254.x.x172.16.x.x - 172.31.x.x192.168.x.x

En fullständig lista över privata IP-adresser finns i IETF dokument RFC 1918 (IPv4) och RFC 4193 (IPv6)

Nyckellängd
Telias certifikattjänster supporterar RSA och ECC-nycklar. Minimum nyckellängd för RSA-nycklar är 2048 bitar. Följande elliptiska kurvor supporteras:

  • prime256v1
  • secp384r1
Telia certifikatskedja

Nuvarande Telia certifikatskedja för TLS certifikat består av rot certifikat Telia Root CA v2 och två mellanliggande CAer: Telia Server CA v3 och Telia Domain Validation CA v3.

CertifieringshierarkiRotnivå*MellannivåUtfärdande nivåServernivå
Den gamla OV-hierarkiTeliaSonera Root CA v1Telia Root CA v2 (intermediate)Telia Server CA v3server.se
Nuvarande OV-hierarkinTelia Root CA v2Telia Server CA v3server.se
Den gamla DV-hierarkiTeliaSonera Root CA v1Telia Root CA v2 (intermediate)Telia Domain Validation CA v3server.se
Nuvarande DV-hierarkinTelia Root CA v2Telia Domain Validation CA v3server.se

* Installation av rotcertifikaten är inte nödvändigt om serverapplikationen kan använda operativsystemets certifikatlager.

De rotcertifikat som behövs kan laddas ner från länkarna i tabellen eller här. Rotcertifikatpaketen som finns i kapitlet Instruktioner för olika servrar kan också användas.

Instruktion för CSR-innehåll

Fält Exampel Krav Information
(CN) Common name www.foretag.se /
*.foretag.se
Ja Denna adress skall vara registrerad för servern. Om certifikatet är ett wildcard-certifikat anges en stjärna, en punkt följt av domännamn
(OU) Organizational unit - Inte i bruk Detta värde ingår inte i certifikat utfärdade av Telia Company
(O) Organization Företaget AB Ja Organisationsnamnet måste vara det officiella registrerade namnet
(L) Locality Stockholm Ja Huvudsäte för organisationen
(ST) State - Inte i bruk Detta värde ingår inte i certifikat utfärdade av Telia Company
(C) Country SE Ja Landskoden för organisationens säte i värde O. Detta värde har alltid två bokstäver
(E) Email webmaster@
foretag.se
Nej Detta värde ingår inte i certifikat utfärdade av Telia Company

Tomma meta-värden som "unknown","-" och " " inte är tillåtna som CSR-värden.

Om du använder å, ä, ö eller något annat icke-ASCII tecken i certifikatet, vänligen använd UTF-8. Till exempel om en request görs i OpenSSL så behöver -utf8 inkluderas vid skapande av CSR.

Alla portalkunder har ett begränsat antal ortsnamn som validerats som huvudsäte. Om värdet i L (locality) innehåller något annat än UTF-8 tecken, kommer portalen att visa ett felmeddelande när en CSR avkodas.

Sammansättning av en korrekt registrerad adress

Ett certifikat kan endast utfärdas om det lämnats fullkomliga uppgifter som stämmer överens mot uppgifterna i ett officiellt godkänt register. En korrekt CSR ska alltid innehålla fälten O, L och C. Organisationens adress och Postnummer ska anges i beställningsformuläret. De angivna adressen kan inte vara en boxadress, det måste vara en gatu/besöksadress. En fakturaadress kan dock vara en boxadress.

Sökväg till datafilen vid domänvalidering via filmetoden

När filmetoden används för att bevisa sin kontroll över en domän så behöver filen läggas till en speciell sökväg på din webbserver. Exemplet nedan visar om filen skulle heta: telia_validation_data_file20180308.

KontrolladdressExempel på hela sökvägen
Linuxwww.bolag.se/.well-known/pki-validation/telia_validation_data_file_20180308/var/www/html/.well-known/pki-validation/telia_validation_data_file_20180308
Windowswww.bolag.se/.well-known/pki-validation/telia_validation_data_file_20180308C:\well-known\pki-validation\telia_validation_data_file_20180308
Det är inte möjligt att använda punkter (.) i Windowsbaserade filer och sökvägar. För att skapa en korrekt adress på en så IIS behöver du skapa ett "virtual directory" genom att högerklicka på webbservers namn och sedan välja "Add virtual directory" från menyn. Ange alias ".well-known" och lägg till sökvägen "C:\well-known\pki-validation" till textfältet "Physical path".

ANVISNINGAR FÖR OLIKA SERVRAR

Apache
Microsoft IIS och Azure
Java
Tomcat