Cómo generar el CSR en ISPConfig

Esta guía te muestra cómo generar un CSR en ISPConfig, el panel de control de hosting Linux de código abierto. ISPConfig gestiona el SSL por sitio web: abres el sitio en el panel, activas SSL en la pestaña Domain para que aparezca la pestaña SSL, rellenas los campos de la organización y estableces SSL Action en Create Certificate. ISPConfig crea el CSR y su clave privada correspondiente al mismo tiempo, guarda ambos con el sitio y muestra el texto del CSR que debes pegar en el formulario de pedido de tu Autoridad de Certificación.

Si no necesitas la garantía ni la validación de organización de un certificado de pago, ISPConfig 3.2 y versiones más recientes también pueden emitir un certificado gratuito de Let’s Encrypt con solo marcar una casilla, sin necesidad de CSR. Consulta la sección Alternativa con Let’s Encrypt más abajo.

Generar el CSR en ISPConfig

Si ya tienes un CSR (por ejemplo, lo generaste con nuestro generador de CSR u otra herramienta), pasa directamente a cómo instalar un certificado SSL en ISPConfig. Los pasos que siguen cubren ISPConfig 3.2.x, la línea estable actual en el momento de escribir esto.

Paso 1: Inicia sesión en ISPConfig

Abre tu panel de ISPConfig en un navegador. La URL predeterminada es el nombre de host o la IP del servidor en el puerto 8080, por ejemplo:

https://your-server.example.com:8080/

Inicia sesión con tu cuenta de administrador o de revendedor.

Paso 2: Abre el sitio web que quieres proteger

• En la navegación superior, haz clic en Sites.
• En la barra lateral izquierda, abre la sección Websites y haz clic en Websites.
• Haz clic en el nombre de dominio para el que quieres el certificado.

Paso 3: Activa SSL en el sitio web

En la pestaña Domain del sitio web, marca la casilla SSL y haz clic en Save. ISPConfig solo muestra la pestaña SSL una vez activada esta opción, así que si no ves la pestaña en el paso 4, esto es lo que falta.

Deja la casilla Let’s Encrypt SSL sin marcar por ahora. Esa opción corresponde a la alternativa gratuita y automática que se explica más adelante en esta guía. Si la marcas, ISPConfig intentará emitir un certificado de Let’s Encrypt en lugar de crear un CSR para una CA de pago.

Paso 4: Abre la pestaña SSL y rellena los campos del CSR

Haz clic en la pestaña SSL del mismo sitio web. Rellena cada campo con los datos legales de la organización propietaria del dominio. Las Autoridades de Certificación usan estos valores para la validación, así que deben coincidir con los registros oficiales (Escritura de Constitución, registro gubernamental, etc.):

• State: el nombre completo del estado o provincia donde tu organización está registrada legalmente (por ejemplo, California, no CA).
• Locality: la ciudad o localidad donde tu organización está registrada legalmente, escrita completa.
• Organization: el nombre legal exacto de tu empresa, por ejemplo Example LLC. Para un certificado de Validación de Dominio (DV), puedes introducir el nombre de dominio o un nombre personal; para OV o EV, debe coincidir exactamente con los registros oficiales.
• Organization Unit: deja este campo en blanco. El campo OU ha quedado obsoleto según el CA/Browser Forum y muchas CA lo eliminan durante la emisión.
• Country: elige el código de país de dos letras correspondiente a la dirección legal de tu organización en el menú desplegable (por ejemplo, US, GB, DE).
• Common Name (FQDN): el Nombre de Dominio Completamente Cualificado que quieres que proteja el certificado. ISPConfig preselecciona el dominio principal del sitio web. Para un certificado comodín, elige la entrada que empieza con un asterisco, por ejemplo *.example.com. La forma comodín cubre todos los subdominios de primer nivel (como shop.example.com y mail.example.com), pero no el dominio desnudo a menos que tu CA lo incluya explícitamente.

Verifica los valores antes de guardar. El CSR los codifica tal cual, y un solo error tipográfico en el campo Organization o Common Name hará que la CA rechace el pedido y tengas que empezar de nuevo.

Paso 5: Establece SSL Action en Create Certificate y guarda

• Desplázate hasta el menú desplegable SSL Action en la parte inferior de la pestaña SSL.
• Selecciona Create Certificate.
• Haz clic en Save.

ISPConfig ahora genera la clave privada y el CSR en segundo plano. El procesamiento suele tardar unos segundos. Recarga la página o vuelve a abrir la pestaña SSL del sitio web una vez finalizado.

Paso 6: Copia el CSR del campo SSL Request

Después de guardar, vuelve a la pestaña SSL. El área de texto SSL Request ahora contiene tu CSR y el campo SSL Key debajo contiene la clave privada correspondiente. Selecciona todo el bloque de SSL Request, incluidas las líneas de encabezado y pie, y cópialo. El CSR tiene este aspecto:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2TCCAcECAQAwgZMxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
... (many lines of base64-encoded data) ...
wIDAQABoAAwDQYJKoZIhvcNAQELBQADggEBAA==
-----END CERTIFICATE REQUEST-----

Pega el bloque completo (encabezado y pie incluidos) en el campo CSR del formulario de pedido de la Autoridad de Certificación al finalizar la compra. Deja el sitio web abierto en ISPConfig; volverás a esta misma pestaña SSL para instalar el certificado emitido.

Protege la clave privada

La clave privada es la mitad de tu certificado. Sin ella, el certificado emitido no puede servir HTTPS, y cualquiera que la copie puede suplantar tu sitio mientras el certificado sea válido. Algunas reglas:

• Nunca envíes la clave privada a la Autoridad de Certificación. Solo debes enviar el CSR. La CA nunca necesita la clave, y cualquier CA que la solicite está haciendo algo indebido.
• No edites ni reemplaces el campo SSL Key hasta que se emita tu certificado. El certificado que devuelve la CA solo funciona con la clave exacta que se generó junto con el CSR. Si la sobrescribes, el certificado quedará inutilizable y tendrás que volver a emitirlo.
• Haz una copia de seguridad de la clave. Si tienes acceso SSH, ISPConfig almacena la clave privada en el disco en /var/www/yourdomain.com/ssl/yourdomain.com.key y el CSR en /var/www/yourdomain.com/ssl/yourdomain.com.csr. Guarda ambos en un lugar privado con permisos restringidos y no los subas a un repositorio de código.

Una vez que la CA emita el certificado, vuelve a la pestaña SSL y pega el certificado y el paquete de la CA en los campos correspondientes con SSL Action establecido en Save Certificate. Encontrarás instrucciones paso a paso en nuestra guía sobre cómo instalar un certificado SSL en ISPConfig.

Verifica el CSR antes de enviarlo

Antes de pegar el CSR en el formulario de pedido, decodifícalo y confirma que cada campo es el que esperas. Un CSR con un error tipográfico en el Common Name o en la Organization será rechazado por la CA después de que ya hayas pagado el pedido. Dos formas de comprobarlo:

• Pega el CSR en nuestro Decodificador de CSR gratuito. Devuelve el Common Name, la Organization, el Country, el tipo de clave y el tamaño de la clave en un formato legible.
• Si tienes acceso SSH al servidor, ejecuta OpenSSL directamente sobre el archivo:

openssl req -in /var/www/yourdomain.com/ssl/yourdomain.com.csr -noout -text

Comprueba la línea Subject para los valores de CN, O, ST, L y C, y la línea Public-Key para el tamaño de la clave (RSA 2048 o superior es el mínimo actual).

Alternativa con Let’s Encrypt (sin necesidad de CSR)

ISPConfig 3.2 y versiones más recientes tienen Let’s Encrypt integrado. Si solo necesitas Validación de Dominio y no te importa la garantía, este es el camino más sencillo: no hay que generar ningún CSR, no hay que pegar archivos de certificado y no hay renovación manual. Para activarlo:

• Abre Sites > Websites y haz clic en el dominio.
• En la pestaña Domain, marca tanto la casilla SSL como la casilla Let’s Encrypt SSL.
• Haz clic en Save.

Antes de activarlo, asegúrate de que el dominio (y cualquier alias o subdominio que hayas marcado en el sitio web) ya resuelve a este servidor en el DNS y de que el puerto 80 es accesible desde internet público. Let’s Encrypt valida el dominio por HTTP antes de emitir el certificado, así que la emisión falla si el nombre aún no resuelve al servidor o si un firewall bloquea el puerto 80. Los certificados de Let’s Encrypt son válidos durante 90 días, e ISPConfig los renueva automáticamente antes de que caduquen.

Utiliza un certificado de pago de una CA comercial cuando necesites Validación de Organización o Extendida, un comodín de una CA comercial, un despliegue de mayor duración, o una garantía que respalde la emisión. En caso contrario, Let’s Encrypt es una buena opción predeterminada.