O Que é um CSR?
Um CSR (certificate signing request, ou solicitação de assinatura de certificado) é o arquivo que você envia a uma autoridade certificadora (CA) para obter um certificado SSL/TLS. Ele contém a sua chave pública, os nomes de domínio que o certificado deve cobrir e, se quiser, os dados da empresa, tudo assinado com a chave privada correspondente para provar que você a possui.
Gerar um CSR sempre cria dois arquivos: o CSR, que você cola no formulário de pedido da CA, e a chave privada, que fica no seu servidor. A CA assina a sua chave pública e devolve um certificado que só funciona junto com essa chave.
Como Gerar um CSR
Digite o domínio principal como nome comum, por exemplo example.com, ou *.example.com para um certificado wildcard.
Liste os outros domínios ou subdomínios que o certificado deve cobrir. A versão www é adicionada automaticamente, a menos que você desmarque a opção.
RSA 2048 funciona em qualquer lugar. ECDSA P-256 é menor e mais rápida, e todos os navegadores e servidores modernos a suportam.
Baixe os dois arquivos. Cole o CSR no formulário de pedido da sua CA e guarde o arquivo .key em segurança: você vai precisar dele para instalar o certificado.
Advertisement
O Que Preencher em Cada Campo do CSR
O domínio principal, exatamente como os visitantes o digitam: example.com ou *.example.com. Sem https:// e sem caminho.
Todos os nomes que o certificado precisa cobrir. Os navegadores só verificam os SANs, não o nome comum, por isso o gerador sempre inclui o CN aqui também.
A razão social da sua empresa, a cidade, o estado e o país. Certificados validados por domínio (DV) ignoram esses dados; os validados por organização (OV) e de validação estendida (EV) os verificam.
O código ISO de duas letras, como US, GB ou DE. Nomes de país por extenso tornam o CSR inválido na maioria das CAs.
As CAs públicas deixaram de incluir a OU nos certificados em setembro de 2022, então a maioria delas a rejeita ou ignora.
Raramente é necessário. Algumas CAs o removem do certificado por completo.
RSA ou ECDSA: Qual Chave Usar?
A escolha segura: aceita por todas as CAs, servidores e clientes, inclusive os antigos.
Chaves maiores deixam cada handshake TLS mais lento. Use-as só se a sua política exigir.
Segurança parecida com a do RSA 3072, com uma chave bem menor e handshakes mais rápidos. Suportada por todos os navegadores e servidores modernos.
Para políticas mais rígidas. Um pouco mais lenta que a P-256, mas ainda muito mais leve que o RSA 4096.
Advertisement
Mantenha Sua Chave Privada em Segurança
Nunca envie a chave privada a ninguém, nem à sua autoridade certificadora. Uma CA só precisa do CSR.
Salve a chave antes de sair da página. Ela existe apenas no seu navegador, e não temos como recuperá-la. Sem ela, o certificado não serve para nada.
Guarde-a com permissões restritas no servidor, por exemplo
chmod 600 example.com.key, para que só o servidor web consiga lê-la.Use uma chave nova a cada pedido. Se uma chave pode ter vazado, gere um novo CSR e peça a reemissão do certificado.
Os certificados estão ficando mais curtos. Desde março de 2026, certificados TLS públicos valem no máximo 200 dias, e o limite continua diminuindo, então automatizar a renovação com ACME (por exemplo, o Certbot) economiza tempo.
Comandos OpenSSL Úteis para CSRs
Confira seus arquivos na linha de comando antes e depois de o certificado chegar:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Mais Ferramentas de SSL e Certificados
Depois que o seu certificado for emitido, confira-o com estas ferramentas grátis: