Generador de CSR

Qué se genera

Dos archivos PEM:

example.csr (público, enviado a la CA):

-----BEGIN CERTIFICATE REQUEST-----
MIIC...
-----END CERTIFICATE REQUEST-----

example.key (privado, se queda en tu servidor):

-----BEGIN PRIVATE KEY-----
MIIE...
-----END PRIVATE KEY-----

La CSR se firma con la clave privada como prueba de posesión. Cuando la CA emite el certificado, la clave pública del certificado coincidirá con la clave de la CSR, que coincidirá con la clave privada de tu servidor.

Este generador crea una CSR con el Nombre Común que introduzcas y sin extensiones de Nombre Alternativo del Sujeto (SAN). Si tu certificado debe cubrir varios nombres de host, usa las herramientas de tu CA: los clientes ACME como Let’s Encrypt construyen la solicitud por ti, y la mayoría de los formularios web de las CA añaden los nombres adicionales al enviar la solicitud.

Requisitos de campos según el tipo de certificado

Let’s Encrypt y la mayoría de los emisores DV automatizados solo miran el Nombre Común. Las CA corporativas que emiten certificados OV/EV verifican los datos de la organización contra los registros comerciales.

Tamaños de clave

Para un servidor web público, RSA 2048 es el estándar seguro. Elige 3072 o 4096 bits si quieres un mayor margen de seguridad y aceptas una generación de claves y una negociación más lentas, además de certificados más grandes.

Dónde fallan las CSR

• El certificado no cubre el nombre de host: los navegadores muestran “NET::ERR_CERT_COMMON_NAME_INVALID” cuando el certificado no cubre el nombre exacto que visitaste. El Nombre Común debe coincidir con el nombre de host completo, incluido www si lo usas. Como este generador crea una solicitud con un solo CN, usa las herramientas de tu CA cuando necesites nombres adicionales.
• Límite de comodines: un comodín *.example.com solo coincide con un nivel de subdominio. No coincide con api.v2.example.com.
• El dominio raíz y el comodín son nombres distintos: *.example.com no cubre el example.com desnudo; necesitas ambos como nombres separados en el certificado.
• Dirección IP: la mayoría de las CA públicas ya no emiten certificados para direcciones IP; debes usar un nombre de host.

Después de generar

1. Guarda la clave privada en un lugar seguro. Permisos 0600, propiedad del usuario del servidor web.
2. Pega la CSR en el formulario web o la herramienta CLI de tu CA (Let’s Encrypt a través de ACME suele hacerlo automáticamente).
3. Recibe el certificado firmado (y la cadena intermedia).
4. Instala tanto la cadena de certificados como la clave privada en tu servidor.
5. Verifica con un comprobador SSL.