¿Qué Es un CSR?
Una solicitud de firma de certificado (CSR) es el archivo que usted envía a una autoridad certificadora (CA) para obtener un certificado SSL/TLS. Contiene su clave pública, los nombres de dominio que debe cubrir el certificado y, de forma opcional, los datos de su empresa, todo ello firmado con la clave privada correspondiente para demostrar que usted la posee.
Al generar un CSR siempre se crean dos archivos: el CSR, que usted pega en el formulario de pedido de la CA, y la clave privada, que permanece en su servidor. La CA firma su clave pública y le devuelve un certificado que solo funciona junto con esa clave.
Cómo Generar un CSR
Escriba el dominio principal como nombre común, por ejemplo example.com, o *.example.com para un certificado comodín (wildcard).
Indique los dominios o subdominios adicionales que debe cubrir el certificado. La versión www se agrega automáticamente, salvo que desmarque la casilla.
RSA 2048 funciona en todas partes. ECDSA P-256 es más pequeña y rápida, y la admiten todos los navegadores y servidores modernos.
Descargue ambos archivos. Pegue el CSR en el formulario de pedido de su CA y guarde el archivo .key en un lugar seguro: lo necesitará para instalar el certificado.
Advertisement
Qué Poner en Cada Campo del CSR
El dominio principal, tal como lo escriben los visitantes: example.com o *.example.com. Sin https:// y sin ruta.
Todos los nombres que debe cubrir el certificado. Los navegadores solo revisan los SAN, no el nombre común, por eso el generador siempre incluye aquí también el CN.
El nombre legal de su empresa, la ciudad, el estado o provincia y el país. Los certificados validados por dominio (DV) los ignoran; los de validación de organización y de validación extendida los verifican.
El código ISO de dos letras, como US, GB o DE. Si escribe el nombre completo del país, la mayoría de las CA considerarán el CSR inválido.
Las CA públicas dejaron de incluir la OU en los certificados en septiembre de 2022, por lo que la mayoría la rechaza o la ignora.
Rara vez es necesaria. Algunas CA la eliminan por completo del certificado.
RSA o ECDSA: ¿Qué Clave Debe Usar?
La opción segura: la aceptan todas las CA, todos los servidores y todos los clientes, incluso los antiguos.
Las claves más grandes hacen más lento cada handshake TLS. Úselas solo si su política lo exige.
Seguridad similar a RSA 3072 con una clave mucho más pequeña y handshakes más rápidos. La admiten todos los navegadores y servidores modernos.
Para políticas más estrictas. Algo más lenta que P-256, pero mucho más ligera que RSA 4096.
Advertisement
Proteja Su Clave Privada
Nunca envíe la clave privada a nadie, ni siquiera a su autoridad certificadora. Una CA solo necesita el CSR.
Guárdela antes de salir de la página. Solo existe en su navegador y no podemos recuperarla. Sin ella, el certificado no sirve.
Almacénela con permisos restrictivos en el servidor, por ejemplo
chmod 600 example.com.key, para que solo el servidor web pueda leerla.Use una clave nueva en cada solicitud. Si una clave pudo haberse filtrado, genere un CSR nuevo y pida que se vuelva a emitir el certificado.
Los certificados duran cada vez menos. Desde marzo de 2026, los certificados TLS públicos tienen una validez máxima de 200 días y el límite seguirá reduciéndose, así que automatizar la renovación con ACME (por ejemplo, con Certbot) le ahorra tiempo.
Comandos OpenSSL Útiles para CSR
Revise sus archivos en la línea de comandos antes y después de recibir el certificado:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Más Herramientas SSL y de Certificados
Cuando se haya emitido su certificado, revíselo con estas herramientas gratuitas:
Decodifique un CSR o un certificado y compruebe que coinciden.
Pruebe el certificado instalado en cualquier sitio web.
Revise HSTS y otras cabeceras de seguridad.
Cree en su navegador claves DKIM para firmar el correo electrónico.