Generador de CSR
Crea una solicitud de firma de certificado (CSR) y la clave privada correspondiente para un certificado SSL/TLS. Añade cada dominio como Subject Alternative Name, elige RSA o ECDSA y envía la CSR a tu autoridad de certificación. La clave se genera en tu dispositivo y nunca se sube.
Última actualización:
Sujeto y dominios
Clave privada
Compruébala o haz lo mismo con OpenSSL
Cómo usar Generador de CSR
- Introduce el Common Name, normalmente tu dominio principal, como example.com.
- Enumera los dominios adicionales en Subject Alternative Names (uno por línea o separados por comas). Usa *.example.com para un comodín.
- Rellena los campos de la organización si tu tipo de certificado los necesita (certificados OV/EV); los certificados validados por dominio solo necesitan los nombres de dominio.
- Elige el tipo de clave: RSA 2048 se acepta en todas partes y ECDSA P-256 es más pequeña y rápida. O cambia a Usar mi clave existente y pega una.
- Pulsa Generar CSR, copia la CSR en el formulario de pedido de tu autoridad de certificación y descarga la clave privada. Guarda la clave en un lugar seguro: la necesitas para instalar el certificado.
Qué contiene una CSR
Una CSR (PKCS#10, RFC 2986) es un paquete firmado de tres elementos. La autoridad de certificación copia la clave pública y, tras la validación, los nombres en tu certificado.
| Campo | Ejemplo | Notas |
|---|---|---|
| Common Name (CN) | example.com | Nombre de host principal, máx. 64 caracteres. Se mantiene por compatibilidad; los navegadores comprueban los SAN. |
| Subject Alternative Names | example.com, www.example.com | Cada nombre de host o IP que debe cubrir el certificado. *.example.com cubre un nivel de subdominios, pero no el propio example.com. |
| Organización (O), OU | Example Inc. | Se verifica en los certificados OV y EV. Muchas CA descartan el OU, y los certificados DV ignoran ambos. |
| Localidad (L), estado (ST) | Austin, Texas | Escribe el estado completo, sin abreviar. |
| País (C) | US | Código ISO 3166 de dos letras (el Reino Unido es GB). |
| Clave pública | RSA 2048 / ECDSA P-256 | Se deriva de tu clave privada. La clave privada en sí nunca forma parte de la CSR. |
| Firma | SHA-256 con RSA | Demuestra que tienes la clave privada que corresponde a la clave pública. |
Cómo elegir el tipo de clave
| Clave | Nivel de seguridad | Compatibilidad | Notas |
|---|---|---|---|
| RSA 2048 | ~112 bits | Universal | Mínimo aceptado por las CA públicas; la opción segura por defecto. |
| RSA 3072 / 4096 | ~128 bits / ~140 bits | Universal | Claves más grandes y handshakes más lentos; úsala cuando una política lo exija. |
| ECDSA P-256 | ~128 bits | Todos los clientes y CA modernos | Pequeña, rápida y muy recomendada para sitios nuevos. |
| ECDSA P-384 | ~192 bits | Todos los clientes y CA modernos | Exigida por algunos perfiles gubernamentales. |
| Ed25519 | ~128 bits | Pocas CA públicas | Adecuada para PKI privada y servicios internos. |
Después de obtener el certificado
- Tu CA envía un certificado (
.crto.pem) y normalmente una cadena intermedia. - Pon el certificado seguido de los intermedios en un solo archivo (la "cadena completa") y apunta tu servidor a él junto con la clave privada, por ejemplo en nginx:
ssl_certificate fullchain.pem; ssl_certificate_key example.com.key; - Si el servidor dice que la clave no coincide, compara los hashes de la clave pública con los comandos que aparecen bajo el resultado: la CSR, la clave y el certificado deben mostrar el mismo valor.
- ¿Necesitas un
.pfxpara Windows/IIS? Combínalos conopenssl pkcs12 -export -in cert.crt -inkey example.com.key -certfile chain.pem -out example.com.pfx.
Preguntas frecuentes
¿Qué es una CSR?
Una solicitud de firma de certificado es un archivo pequeño en formato PKCS#10 que contiene tu clave pública, los nombres que debe cubrir el certificado y una firma hecha con tu clave privada. Una autoridad de certificación comprueba que controlas esos nombres y luego emite un certificado para esa clave pública. La CSR nunca contiene la clave privada.
¿Tengo que conservar la clave privada?
Sí. El certificado que recibas solo funciona junto con la clave privada generada aquí. Descárgala y guárdala en el servidor donde se instalará el certificado. Si la pierdes, debes crear una nueva CSR y pedir que se vuelva a emitir el certificado.
¿RSA o ECDSA?
RSA 2048 es aceptada por todas las autoridades de certificación y clientes. ECDSA P-256 ofrece una seguridad equivalente o mejor con claves mucho más pequeñas y handshakes TLS más rápidos, y es compatible con todos los navegadores y CA modernos. RSA 3072 o 4096 solo es necesaria cuando una política lo exige.
¿Por qué son importantes los Subject Alternative Names?
Los navegadores ignoran el Common Name y solo comprueban la extensión Subject Alternative Name (SAN). Cada nombre de host que deba proteger el certificado, incluido el dominio sin www y con www, debe figurar como SAN. Las autoridades de certificación suelen copiar los nombres de tu CSR o del formulario de pedido al campo SAN.
¿Es seguro generar la clave privada en un navegador?
El par de claves se crea con la Web Crypto API integrada en el navegador y un generador aleatorio criptográficamente seguro. No se envía nada a ningún servidor y no se guarda nada después de cerrar la página. Si tu política de seguridad exige generar las claves en el propio servidor, usa el comando OpenSSL que aparece bajo el resultado.
¿Cómo puedo comprobar mi CSR?
Ejecuta openssl req -in example.com.csr -noout -text -verify para mostrar su contenido y confirmar la firma. También puedes pegarla en un decodificador de CSR. El resumen bajo el resultado muestra el sujeto, los SAN, el tipo de clave y el algoritmo de firma.
¿Qué debo poner en el campo País?
El código de país ISO 3166 de dos letras de tu organización, por ejemplo US, GB, DE o CA. Si lo prefieres, déjalo vacío para un certificado validado por dominio: la mayoría de las CA ignoran los campos de organización en los certificados DV.
¿Se prueban todas las herramientas de FreeToolCabin para comprobar su calidad y precisión?
Sí. Cada herramienta del sitio pasa pruebas automáticas en navegadores reales para comprobar que el resultado es correcto y que no hay errores. Si encuentras un fallo o tienes una sugerencia, escríbenos a [email protected] y lo revisaremos.