Здравствуйте, m2user, Вы писали:

M>Судя по ссылке, там 3 опции:
M>- самостоятельно сделать CSR,
M>- через IE,
M>- через Fortify

Поддержка сказала, что сейчас выпускают с отдачей только через Fortify. Но как-то очень странно, что способ получения сертификата необходимо выбирать на стадии заказа. По уму, он должен выбираться на стадии извлечения.

M>Судя по https://fortifyapp.com/developers и https://fortifyapp.com/#faq там локальное приложение, слушающее tcp-порт, и JS в веб-браузере.
M>Локальное приложение в принципе не должно лазить в интернет, а сетевые запросы JS компонента в теории можно отследить через dev tool веб-браузера.

Я пока не пойму, как оно взаимодействует с сервером GlobalSign. Разве что на страницах размещен JS-код, который взаимодействует с ним через этот локальный порт.

M>Но в идеале конечно самому генерировать приватный ключ и помещать в аппаратный токен и далее отслеживать, что именно подписывает им то или иное приложение.

Да я б с радостью. Но время нынче такое, что бодаться чревато.