¿Qué es un CSR y cuándo lo necesitas?
Un CSR es el formato estándar para pedir un certificado SSL/TLS a una autoridad de certificación (Let's Encrypt, DigiCert, Sectigo). Rellenas los datos de tu dominio, pulsas Generar y obtienes dos archivos: un CSR (lo envías a la CA) y una clave privada (la guardas en tu servidor, no la compartas nunca).
Aquí generas el par directamente en tu navegador. Soportamos RSA 2048/3072/4096 y ECDSA P-256/P-384 (el default moderno, claves más pequeñas). Añade SAN si el certificado debe cubrir www, api, blog, etc.
La segunda pestaña: pega un CSR existente y decodificamos el subject, los SAN y el algoritmo para que puedas verificarlo antes de mandarlo a una CA.
Todo se ejecuta en local. La clave privada se genera en tu navegador y no se transmite nunca.
Cómo usar
- Pestaña Generar: introduce el Common Name (CN), el dominio principal del certificado (p. ej. example.com).
- Añade organización (O), unidad (OU), ciudad (L), provincia (ST) y país (C, código ISO de 2 letras: ES, US, DE).
- El campo SAN es una lista separada por comas con dominios extra (p. ej. www.example.com, api.example.com). La mayoría de certificados cubren al menos "example.com" y "www.example.com".
- Elige el algoritmo: RSA 2048 para máxima compatibilidad, ECDSA P-256 para velocidad y stacks modernos (recomendado por Let's Encrypt en 2025).
- Pulsa Generar y obtienes dos archivos: un CSR (envíalo a tu CA, p. ej. pégalo en el panel de Let's Encrypt) y una clave privada (guárdala en tu servidor, no la compartas).
- Pestaña Decodificar: pega un CSR existente (p. ej. uno generado con OpenSSL) y ve el subject, los SAN y el algoritmo. Verifícalo antes de mandarlo a una CA.
Cuándo usarlo
Cinco situaciones comunes en las que necesitas generar un CSR:
- Certificado Let's Encrypt para tu propio servidor. La mayoría usa certbot/acme.sh (CSR automáticos), pero para setups manuales o casos raros generas uno tú.
- Certificado SSL comercial de DigiCert, Sectigo, GlobalSign. Los certificados de pago siempre exigen un CSR desde tu servidor.
- **Certificado wildcard (*.example.com)**. Pon CN = "*.example.com" para cubrir todos los subdominios.
- Certificado de intranet / staging. El CSR lo firmará la CA interna de tu empresa.
- Migrar un certificado a un servidor nuevo. Un CSR nuevo + clave nueva evita exponer la clave antigua.
Para inspeccionar un certificado en producción, usa el Inspector de certificados SSL. Para generar una clave de firma JWT, mira el Generador de pares de claves JWT.