آن فایل .csr هنوز یک درخواست گواهی است

server.csr معمولاً درخواستی خطاب به مرجع صدور گواهی برای صدور گواهی است. نشانه‌رفتن گزینهٔ گواهی یک پروکسی به آن، این فرایند را کامل نمی‌کند.

داخل فایل PEM را ببینید:

-----BEGIN CERTIFICATE REQUEST-----
-----BEGIN CERTIFICATE-----
-----BEGIN PRIVATE KEY-----

این برچسب‌ها اشیای متفاوتی را توصیف می‌کنند. درخواست، گواهی صادرشده نیست و کلید خصوصی آن هم نیست. تغییر نام فایل به .pem هیچ‌یک از این‌ها را عوض نمی‌کند.

برای شنوندهٔ TLS که پروکسی را معرفی می‌کند، از گواهی صادرشده برای همان نام پروکسی و کلید منطبق آن، در ترتیبی که نرم‌افزار مستند می‌کند، استفاده کنید. openssl req درخواست‌های گواهی را بررسی می‌کند؛ openssl x509 گواهی‌ها را بررسی می‌کند. برای شیئی که دارید از تجزیه‌گر مناسب آن استفاده کنید. برای Squid 6.13، از گواهی صادرشده و کلید منطبق در شنوندهٔ TLS آن استفاده کنید.

گواهی معمولی سرور با CA‌ای که برای رهگیری مجاز به کار می‌رود نیز تفاوت دارد. چنین گواهی‌ای اختیار امضای گواهی وب‌سایت‌های بی‌ربط را نمی‌دهد.

پیش از بررسی کنترل نام میزبان یا دسترس‌پذیری شبکه، نوع اشیا و جفت‌شدن کلید را تأیید کنید. TLS نمی‌تواند از گواهی‌ای استفاده کند که هرگز ارائه نشده است.