Generador de CSR
Genera en tu navegador una solicitud de firma de certificado PKCS#10 válida y su clave privada, RSA o ECDSA, con SAN. La clave privada nunca se sube.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un generador de CSR en el navegador: crea una solicitud de firma de certificado PKCS#10 válida y la clave privada correspondiente íntegramente en tu dispositivo. Rellena el sujeto (Common Name (CN), Organization (O), Organizational Unit (OU), Locality (L), State (ST), Country (C) y correo) y añade nombres alternativos del sujeto (SAN) de tipo DNS, IP, correo o URI, que se detectan automáticamente en una lista separada por comas. Elige la clave: RSA 2048, 3072 o 4096, o ECDSA P-256 / P-384. La CSR se firma con SHA-256 (SHA-384 para P-384). Cada CSR se vuelve a verificar contra su propia firma antes de mostrarse: si la comprobación falla, no se emite ninguna CSR, así que nunca copias una solicitud inválida. La clave privada se genera en tu navegador y nunca se envía a ninguna parte: copia o descarga la CSR para tu autoridad de certificación y guarda la clave privada en un lugar seguro, porque es solo tuya. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Rellena los campos del sujeto: CN, O, OU, L, ST, C y correo.
- Añade los SAN como lista separada por comas (DNS, IP, correo o URI); tu CN se copia en la lista por defecto.
- Elige el tipo de clave: RSA 2048/3072/4096 o ECDSA P-256/P-384.
- Genera, copia o descarga la CSR para tu CA y guarda la clave privada de forma segura.
Preguntas frecuentes
¿Qué es una CSR (solicitud de firma de certificado)?
Una CSR es un bloque de datos codificado en PEM que envías a una autoridad de certificación (CA) para pedirle que emita un certificado SSL/TLS. Formalmente es una CertificationRequest PKCS#10: contiene el sujeto que quieres en el certificado (tu dominio en el Common Name, más datos opcionales de la organización), los nombres alternativos del sujeto que debe cubrir el certificado y tu clave pública, todo firmado con la clave privada correspondiente para demostrar que la tienes. La CA valida que controlas el dominio y emite un certificado construido en torno a la clave pública y el sujeto de la CSR. Tú te quedas la clave privada: nunca forma parte de la CSR y nunca se envía a la CA.
¿Es seguro generar una CSR y una clave privada en una herramienta web?
Es seguro cuando la generación ocurre de verdad en el cliente, como en esta herramienta. El par de claves y la CSR se producen en tu navegador con las API criptográficas del navegador sobre las que se apoya jsrsasign; no se transmite nada a PlayCISO ni a ningún servidor, y puedes confirmarlo en la pestaña de red de las herramientas de desarrollo (no verás ninguna subida al pulsar Generar). Aun así, la práctica más sólida para certificados de alto valor sigue siendo generar la clave en la máquina o el HSM exactos que la van a usar (por ejemplo, con openssl en tu servidor), para que la clave privada no exista en ningún otro sitio. Usa esta herramienta por comodidad y para certificados de prueba, de laboratorio e internos; para una clave de producción que quieras mantener demostrablemente en un único host, genérala allí.
¿Qué son los campos del sujeto: CN, O, OU, L, ST, C?
Son las partes del nombre distinguido (DN) X.500 que identifican al titular del certificado. CN (Common Name) es el nombre de host principal, por ejemplo example.com. O (Organization) es el nombre legal de la empresa; OU (Organizational Unit) es un departamento, como TI. L (Locality) es la ciudad, ST (State o Province) es la región y C (Country) es el código de país ISO de dos letras, como US, GB o DE. En los certificados públicos modernos el CN importa menos que antes (los navegadores validan contra los nombres alternativos del sujeto), pero la CA sigue registrando estos campos, y los certificados OV/EV verifican O, L, ST y C contra registros oficiales. Deja en blanco los campos que tu CA no exija.
¿Qué son los nombres alternativos del sujeto (SAN) y por qué los necesito?
Los SAN son la lista de nombres para los que un certificado es realmente válido. Todos los navegadores modernos ignoran el Common Name y solo confían en un certificado para los nombres de host de su lista de SAN, así que un certificado que cubra example.com y www.example.com debe incluir ambos como SAN. Los SAN pueden ser nombres DNS (incluidos comodines como *.example.com), direcciones IP, direcciones de correo o URI; esta herramienta detecta el tipo de cada entrada separada por comas y, por defecto, copia tu Common Name en la lista de SAN porque las CA públicas exigen que el nombre principal aparezca allí. Incluye siempre todos los nombres de host que quieras que sirva el certificado.
¿RSA o ECDSA: qué tipo de clave elijo?
RSA 2048 es la opción segura por defecto: se acepta en todas partes, incluidos clientes antiguos y equipos intermedios, y se sigue considerando segura. RSA 3072 y 4096 dan más margen de seguridad a costa de handshakes más lentos y una generación más lenta. ECDSA (P-256 o P-384) usa claves de curva elíptica mucho más pequeñas y rápidas que RSA con el mismo nivel de seguridad (P-256 es aproximadamente comparable a RSA 3072) y es la opción moderna para despliegues nuevos en los que controlas los clientes. Si dudas o necesitas la máxima compatibilidad, usa RSA 2048. Si quieres rendimiento y tu CA y tus clientes lo admiten, usa ECDSA P-256.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.