Cómo generar un CSR para un certificado SSL

Qué necesitas antes de empezar

• Acceso al servidor o panel de control que alojará el certificado, o usa nuestro Generador de CSR si no lo tienes.
• Los datos de tu organización exactamente como están registrados legalmente. Las autoridades certificadoras los verifican para los certificados OV y EV.
• Una decisión sobre el tipo de clave: RSA de 2048 bits es el estándar mínimo. ECC (por ejemplo, P-256) es una opción moderna y más rápida si tu servidor la admite.
• Un CSR por certificado. Genera uno nuevo cada vez que pidas o renueves con una nueva clave.

Todos los CSR solicitan los mismos campos. Esto es lo que debes poner en cada uno:

Campo	Qué introducir	Ejemplo
Common Name (CN)	El dominio exacto a proteger (FQDN)	www.example.com
Organization (O)	El nombre legal de tu empresa	Example LLC
Organizational Unit (OU)	Departamento (opcional)	IT
Locality (L)	Ciudad	Austin
State (ST)	Nombre completo del estado o región, sin abreviar	Texas
Country (C)	Código de país ISO de dos letras	US
Email	Correo electrónico de contacto (opcional)	[email protected]

El archivo terminado es una solicitud estándar PKCS #10. Contiene tu clave pública junto con estos datos, y está firmado con tu clave privada para que la autoridad certificadora pueda confirmar que ambos pertenecen entre sí.

Consejo: para un certificado wildcard, establece el Common Name como *.example.com. Para varios dominios en un mismo certificado, mantén tu dominio principal como Common Name y añade los demás como Subject Alternative Names (SANs), no como Common Names adicionales.

---

Método 1: Generar un CSR con OpenSSL (Apache, Nginx, Linux)

OpenSSL es la forma universal de generar un CSR en Apache, Nginx y la mayoría de servidores Linux. Conéctate a tu servidor por SSH y ejecuta:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Esto es lo que hace cada parte:

• req -new crea un nuevo CSR.
• -newkey rsa:2048 genera al mismo tiempo una nueva clave privada RSA de 2048 bits.
• -nodes deja la clave privada sin frase de contraseña, para que tu servidor pueda cargarla sin pedirla al reiniciar.
• -keyout example.key guarda la clave privada.
• -out example.csr guarda el CSR.

OpenSSL solicita entonces los campos de la tabla anterior. Introduce tu Common Name, organización y datos de ubicación. Puedes dejar en blanco la contraseña de desafío.

Para saltarte las preguntas y añadir SANs en una sola línea, pasa el asunto y las extensiones directamente:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr 
  -subj "/C=US/ST=Texas/L=Austin/O=Example LLC/OU=IT/CN=www.example.com" 
  -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Atención: el flag -addext necesita OpenSSL 1.1.1 o más reciente. Algunos servidores CentOS 7 y RHEL 7 antiguos todavía llevan OpenSSL 1.0.2, donde este flag no existe. En esos casos, añade tus SANs mediante un archivo de configuración en su lugar. Ejecuta openssl version si no estás seguro.

Abre el archivo terminado example.csr y copia todo desde —–BEGIN CERTIFICATE REQUEST—– hasta —–END CERTIFICATE REQUEST—–. Mantén example.key privado. Lo necesitarás más adelante para instalar el certificado, y no se puede recuperar si lo pierdes.

¿Prefieres ECC? Genera primero la clave y luego construye el CSR a partir de ella:

openssl ecparam -genkey -name prime256v1 -out example.key
openssl req -new -key example.key -out example.csr

¿Quieres los pasos exactos para tu distribución? Consulta nuestras guías para Apache, Nginx, Ubuntu, Debian y Red Hat Linux.

---

Método 2: Generar un CSR en cPanel

Si tu alojamiento usa cPanel, no necesitas la línea de comandos.

1. Inicia sesión en cPanel y abre SSL/TLS en la sección de Seguridad.
2. Haz clic en Certificate Signing Requests (CSR).
3. En Generate a New Certificate Signing Request (CSR), rellena los campos de la tabla anterior. Usa tu dominio completo como valor de Domains o Common Name.
4. Haz clic en Generate.

cPanel muestra el CSR codificado en la siguiente pantalla. Cópialo para tu pedido. cPanel almacena la clave privada correspondiente por ti en Private Keys, por lo que no tienes que guardarla manualmente, pero anota dónde está para la instalación.

Si no encuentras el CSR más adelante, sigue apareciendo en la misma pantalla de Certificate Signing Requests, así que puedes copiarlo de nuevo sin regenerarlo.

¿Usas WHM en lugar de cPanel? El proceso es casi idéntico, en SSL/TLS → Generate an SSL Certificate and Signing Request. Guías paso a paso: cPanel y WHM.

---

Método 3: Generar un CSR en Windows (IIS)

En servidores Windows con IIS:

1. Abre IIS Manager y selecciona el nombre de tu servidor en el panel izquierdo.
2. Haz doble clic en Server Certificates.
3. En el panel de acciones, haz clic en Create Certificate Request.
4. Rellena los campos de Distinguished Name: Common Name, Organization, Organizational Unit, City, State y Country.
5. Elige un proveedor criptográfico y establece la longitud de bits en 2048 o más, luego guarda el CSR en un archivo.

Deja el proveedor como Microsoft RSA SChannel Cryptographic Provider a menos que tengas una razón específica para cambiarlo. Cualquier otra opción puede dificultar más adelante vincular el certificado emitido a tu sitio.

IIS mantiene la clave privada pendiente en el almacén de certificados del servidor, así que completa la solicitud a través de Complete Certificate Request después de que se emita el certificado. No reconstruyas el servidor ni elimines la solicitud pendiente entretanto, o la clave se perderá y necesitarás una reemisión. En equipos Windows sin IIS, puedes generar un CSR con certreq o el complemento de Certificados de MMC en su lugar.

Guías completas: Microsoft IIS y Microsoft Windows.

---

Método 4: Generar un CSR con nuestro Generador de CSR gratuito

¿No tienes acceso al servidor, o simplemente quieres hacerlo en segundos? Usa nuestra herramienta gratuita.

Abre el Generador de CSR, rellena tu Common Name, organización y ubicación, y luego genera. La herramienta crea tanto el CSR como la clave privada al instante y te envía la clave por correo electrónico como respaldo. Copia el CSR para tu pedido y guarda la clave privada en un lugar seguro.

Dos aclaraciones honestas:

• La herramienta genera la clave privada por ti, lo cual está bien para la mayoría de los certificados DV y OV. Si tu política de seguridad exige que la clave nunca salga de tu propio servidor, usa OpenSSL o tu panel de control en su lugar.
• El generador no funciona para certificados de firma de código. Desde junio de 2023, las claves de firma de código deben crearse y almacenarse en hardware seguro, así que genéralas en tu token o HSM.

Genera tu CSR ahora →

---

Después de generar el CSR: verificación y próximos pasos

Antes de enviar el CSR, vale la pena hacer una comprobación rápida.

1. Verifícalo. Pega el CSR en nuestro Decodificador de CSR para confirmar que el Common Name y los datos de la organización sean correctos. Un error de escritura aquí significa una reemisión más adelante.
2. Envíalo. Copia el CSR completo en tu pedido de certificado. La autoridad certificadora lo verifica y emite tu certificado SSL X.509.
3. Instala el certificado. Una vez emitido, sigue nuestra guía sobre cómo instalar un certificado SSL, usando la clave privada que guardaste antes.

La mayoría de las autoridades certificadoras envían por correo electrónico el certificado emitido en minutos para un certificado DV, normalmente como un archivo .crt o .cer junto con un paquete intermedio. Guárdalo junto con la clave privada que generaste.

Mantén esa clave privada respaldada y privada durante toda la vida del certificado. Sin ella, el certificado no se puede instalar.

---

Errores comunes con el CSR y cómo solucionarlos

• Common Name incorrecto. El certificado protege exactamente lo que escribes. example.com y www.example.com son diferentes. Añade ambos (uno como CN, otro como SAN) si necesitas los dos.
• Falta de SANs. Los navegadores modernos dependen de los Subject Alternative Names, no solo del Common Name. Enumera todos los dominios que el certificado debe cubrir.
• El CSR y la clave privada no coinciden. Un CSR solo funciona con la clave generada junto a él. Si pierdes la clave o generas un nuevo CSR, debes reemitir. Nunca elimines la clave antes de que el certificado esté instalado.
• Código de país incorrecto. El país usa el código ISO de dos letras (US, GB, DE), no el nombre completo del país. Escribir «United States» es una de las razones más comunes por las que se rechaza un CSR.
• Caracteres abreviados o especiales en los campos de la organización. Escribe el nombre del estado completo y evita caracteres como @, &, o acentos en los campos de la organización, ya que algunas CA los rechazan.
• Usar el Generador de CSR para firma de código. Los CSR de firma de código deben provenir de hardware seguro. Nuestro Generador de CSR es solo para certificados TLS/SSL.

---

Preguntas frecuentes