Generador de CSR

Porque una clave privada que llega al servidor de otra persona cumple la propia definición que tiene la industria de una clave comprometida, haga lo que haga ese servidor con ella después.

Los Baseline Requirements del CA/Browser Forum la definen sin margen de discusión: «Se dice que una clave privada está comprometida si su valor se ha revelado a una persona no autorizada, o si una persona no autorizada ha tenido acceso a ella». No hace falta ningún uso indebido: basta con que llegue.

Y no es teórico. En 2020, DigiCert encontró 337 claves privadas que sus clientes habían pegado junto a sus solicitudes, revocó todos los certificados involucrados y lo informó públicamente: «al enviar la clave privada a DigiCert junto con el CSR, el cliente comprometió la clave privada», y agregó que «la única parte de un CSR que usamos es la clave pública». Un generador que crea la clave en su propio servidor y le entrega una copia, según esa definición, ya la ha comprometido. Esta página no puede hacer eso: crypto.subtle.generateKey se ejecuta en su navegador, dentro de un marco aislado que no tiene permiso para conectarse a ningún lado, y la página que lo rodea solo llega a ver la clave pública.

ECDSA P-256 para cualquier cosa nueva: es tan fuerte como una clave RSA de 3072 bits, mucho más pequeña, y la permiten las reglas que sigue toda autoridad de certificación pública. RSA 2048 cuando un equipo antiguo tiene que leer la clave.

El NIST ubica a P-256 y a RSA-3072 en la misma fortaleza de seguridad de 128 bits, y a RSA-4096 no le asigna ninguna fortaleza propia: el siguiente escalón de su tabla es de 7680 bits. Así que 4096 le cuesta a cada visitante trabajo extra de negociación sin ninguna ganancia documentada. P-384 es el escalón de 192 bits, y los Baseline Requirements también permiten P-521, pero Let's Encrypt rechaza P-521: una solicitud puede ser perfectamente legal y aun así fallar en la CA que pensaba usar.

Ed25519 se ofrece aquí porque es excelente para SSH, para firmar y para una CA privada, pero ninguna autoridad de certificación pública emitirá un certificado TLS contra ella. Las reglas enumeran RSA y las tres curvas del NIST, y luego dicen que «no se permiten otros algoritmos ni otros tamaños de clave». Lo mismo vale para ML-DSA, el algoritmo poscuántico: la votación que lo habría permitido en TLS público se cerró sin aprobarse en octubre de 2026. El generador lo indica junto a cada opción, en lugar de dejar que lo descubra en un correo de rechazo.

openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes -keyout example.com.key -out example.com.csr genera la clave y la solicitud en un solo paso.

El generador escribe el comando para lo que haya completado, con los nombres alternativos y todas las extensiones, y nuestras pruebas lo ejecutan con OpenSSL para comprobar que genera el mismo sujeto y las mismas extensiones que la página. Agregue -subj "/CN=example.com" para que no haga preguntas, -addext "subjectAltName=DNS:example.com,DNS:www.example.com" para los nombres, y -utf8 para que un nombre con acentos sobreviva. -nodes deja la clave sin cifrar: OpenSSL 3 prefiere la forma nueva -noenc pero sigue aceptando -nodes, que es la única forma que conoce el LibreSSL integrado en macOS. Ese LibreSSL no puede generar una clave Ed25519 en absoluto; para una, use OpenSSL 1.1.1 o posterior.

Para comprobar lo que generó: openssl req -in example.com.csr -text -verify -noout muestra cada campo y verifica la autofirma, y se detiene antes de mostrar nada si la firma falla. Para confirmar que la clave pertenece a la solicitud, compare openssl req -in example.com.csr -pubkey -noout con openssl pkey -in example.com.key -pubout. Ningún estándar le asigna una extensión de archivo a un CSR, así que .csr, .pem, .req y .txt son todas correctas.