Generador de CSR

Esta página crea un par de claves dentro de su navegador y firma con él una solicitud de certificación PKCS#10. Al final obtiene dos archivos: la clave privada como -----BEGIN PRIVATE KEY----- (PKCS#8) y la solicitud como -----BEGIN CERTIFICATE REQUEST-----, además de la forma DER en bruto que suele pedir el portal de una CA. Rellene los campos del sujeto, añada los nombres que debe cubrir el certificado, pulse Generar y entregue solo la solicitud a su autoridad de certificación: el archivo de la clave se queda con usted.
1. Clave
RSA 2048 bit, signed with SHA-256.
RSA 2048 se acepta en todas partes y es la opción segura por defecto. 3072 y 4096 tardan más en generarse: en un equipo lento RSA 4096 puede tardar varios segundos, y esta página muestra el tiempo transcurrido y le permite dejar el resultado sin esperar.
2. Sujeto
Los campos que deje vacíos se omiten por completo de la solicitud. CN está limitado a 64 caracteres, y las CA comerciales cada vez lo ignoran más: lo que ellas y los navegadores comprueban son los nombres alternativos del sujeto de abajo.
3. Nombres alternativos del sujeto
Una entrada por línea. Una línea sin prefijo se trata como nombre DNS, así que www.example.com y dns:www.example.com significan lo mismo; un literal de dirección como 192.0.2.10 se toma como dirección IP aunque no tenga prefijo. Se reconocen los prefijos dns:, ip:, email: y uri:. Un comodín solo se permite como etiqueta más a la izquierda (*.example.com), porque los navegadores lo ignoran en cualquier otra posición.
4. Generar
todavía nada generado
Resultado
Todavía nada generado. Rellene al menos un nombre común, pulse Generar clave y solicitud, y la clave privada y la solicitud aparecerán aquí con botones para guardarlas.
Use este par para pruebas, servicios internos y aprendizaje. Una clave generada en una página web es tan segura como el equipo en el que se ejecuta, y la clave privada que descarga no está cifrada: cualquiera que abra ese archivo tiene su clave. Para un certificado en el que debe confiar internet pública, deje que su autoridad de certificación o su propio servidor generen la clave, y guárdela en un lugar donde no pueda copiarse.
Qué es una CSR: una solicitud PKCS#10 contiene su clave pública, los campos de nombre que escribió y los nombres que debe cubrir el certificado, y todo el conjunto se firma con su clave privada. La firma es lo que demuestra que la solicitud no se alteró de camino a la CA. Su clave privada no forma parte de la solicitud y no puede recuperarse a partir de ella.

Lo que esta página no hace: no contacta con ninguna CA, no registra nada y no puede decirle si su CA aceptará esos campos: cada CA añade sus propias reglas. Tampoco cifra el archivo de la clave; si la necesita cifrada, envuelva la clave con cifrado PKCS#8 o en un contenedor PKCS#12 con sus propias herramientas.

Privacidad: el par de claves lo genera la criptografía propia del navegador y la solicitud se firma aquí. Sin subidas, sin servidor, sin cookies y sin analítica: la página funciona igual desde un archivo local. Cuando decodifique el resultado, el decodificador de certificados lo lee sin acceso a la red.

Y después: pegue la solicitud en el formulario de pedido de su CA, o fírmela usted mismo en el generador de certificados autofirmados para ver todo el recorrido desde la clave hasta el certificado.