Zahteve GORKX poverilnic (check-list)

• Ključ: RSA-4096 ali EC P-384, SHA-256+
• Veljavnost: max 360 dni
• CN=gorkx.ai + SAN:*.gorkx.ai
• DN: C=SI,ST=Slovenija,L=Ljubljana,O="Verdnik Tomaž",OU=GORKX-CORE
• Dokaz: DNS TXT _gorkx-challenge
• Issuer: privatni HSM root CA
• CRL/OCSP, SCT logi, 90-dnevna rotacija

Generiraj CSR

openssl req -new -nodes -newkey rsa:4096 -keyout gorkx.key -out gorkx.csr -subj "/C=SI/ST=Slovenija/L=Ljubljana/O=Verdnik Tomaž/OU=GORKX-CORE/CN=gorkx.ai"

Datoteke v core/tls/

gorkx.csr → pošlji CA
gorkx.pem → prejet cert
gorkx.key → private key (600)
ca-chain.pem → root+intermediate

Po vstavitvi: systemctl reload gorkx.service in log = ALL_GREEN 🛡️