Cómo generar un CSR en LiteSpeed

Este tutorial te muestra cómo generar un CSR en LiteSpeed usando la línea de comandos de OpenSSL.

LiteSpeed Web Server (LSWS Enterprise) y OpenLiteSpeed no tienen un asistente de CSR integrado: sus consolas WebAdmin esperan rutas de archivo hacia una clave privada y un certificado ya existentes. Tú generas ambos archivos con OpenSSL en el host de LiteSpeed, envías el CSR a tu Autoridad de Certificación y luego haces referencia al certificado emitido y a la clave correspondiente en la pestaña SSL del listener.

Los pasos que siguen funcionan en cualquier distribución moderna de Linux que alberga LiteSpeed (Ubuntu, Debian, RHEL, AlmaLinux, Rocky Linux, CentOS Stream, CloudLinux), ya que cada una viene con OpenSSL 1.1.1 u OpenSSL 3.x. Ambas versiones firman la solicitud con SHA-256 de forma predeterminada, por lo que no necesitas añadir una opción de digest.

Paso 1: Conéctate a tu servidor LiteSpeed

Abre Terminal en macOS o Linux, o PowerShell o Windows Terminal en Windows, y conéctate al servidor mediante SSH. Sustituye el nombre de usuario y el host por los tuyos:

ssh your-user@your-litespeed-server

Genera el CSR en el mismo servidor que ejecutará el listener de LiteSpeed. La clave privada se crea junto al CSR y debe permanecer en ese servidor, así que ejecutar el comando en tu portátil y luego copiar la clave de un lado a otro anula el propósito. La instalación predeterminada de LSWS se encuentra en /usr/local/lsws/, y una convención habitual es mantener el material de certificados en /usr/local/lsws/conf/ssl/. Crea ese directorio si no existe y luego entra en él:

sudo mkdir -p /usr/local/lsws/conf/ssl
cd /usr/local/lsws/conf/ssl

Paso 2: Genera la clave privada y el CSR

Si ya has generado tu CSR con otra herramienta, pasa directamente a instalar el certificado en LiteSpeed.

Ejecuta el siguiente comando de OpenSSL. Crea una clave RSA de 2048 bits y un CSR en un solo paso, con el sujeto y los Nombres Alternativos del Sujeto (SAN) suministrados en línea para que OpenSSL no se detenga a hacer preguntas:

sudo openssl req -new -newkey rsa:2048 -nodes 
-keyout yourdomain.key 
-out yourdomain.csr 
-subj "/C=US/ST=YourState/L=YourCity/O=YourCompany/CN=yourdomain.com" 
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Qué hace cada parte:

• -newkey rsa:2048 genera una nueva clave RSA de 2048 bits. 2048 bits es el mínimo actual que aceptan las CA públicas; puedes usar rsa:4096 para una clave más grande, o cambiar a ECDSA (ver más abajo).
• -nodes deja la clave privada sin cifrar. Esto es obligatorio en LiteSpeed: el listener de WebAdmin no puede iniciarse con una clave protegida por frase de contraseña.
• -keyout y -out nombran los archivos de la clave privada y del CSR. Conserva las extensiones .key y .csr para que los campos del listener de LiteSpeed y el formulario de pedido de tu CA los reconozcan.
• -subj proporciona el sujeto del certificado. Coloca aquí el nombre real de tu empresa, estado y ciudad, no los marcadores de posición. CN (Common Name) es tu dominio principal.
• -addext «subjectAltName=…» enumera cada nombre de host que el certificado debe cubrir. Las CA públicas validan contra la lista SAN, así que incluye también el Common Name aquí.

Sustituye yourdomain.com por tu dominio real en todo el comando. Para cubrir nombres de host adicionales, agrégalos a la lista SAN separados por comas, por ejemplo DNS:api.yourdomain.com. Para un certificado wildcard, incluye tanto el wildcard como el dominio simple: DNS:*.yourdomain.com,DNS:yourdomain.com. Usa solo caracteres alfanuméricos en los campos del sujeto, y usa el código de país oficial de dos letras para el campo C.

Si prefieres una clave ECDSA (más pequeña y rápida, con P-256 ampliamente compatible), genera la clave y el CSR de esta manera:

sudo openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -pkeyopt ec_param_enc:named_curve -nodes 
-keyout yourdomain.key 
-out yourdomain.csr 
-subj "/C=US/ST=YourState/L=YourCity/O=YourCompany/CN=yourdomain.com" 
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Si prefieres responder las preguntas campo por campo, ejecuta sudo openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr sin -subj y sin -addext. OpenSSL preguntará por cada campo en turno. Cuando lo haga:

• Country Name (C): el código ISO de dos letras de tu país, por ejemplo US o GB. Para certificados de Validación de Negocio o Validación Extendida, debe ser el país oficial de registro de tu organización.
• State or Province Name (ST): el nombre completo, por ejemplo California. No lo abrevies.
• Locality Name (L): la ciudad o localidad, por ejemplo San Francisco.
• Organization Name (O): el nombre oficial registrado de tu empresa, por ejemplo GPI Holding LLC. Para certificados de Validación de Dominio puedes escribir NA.
• Organizational Unit Name (OU): este campo está en desuso y las CA públicas lo ignoran. Déjalo en blanco pulsando Enter.
• Common Name (CN): el Nombre de Dominio Totalmente Calificado para el que es el certificado, por ejemplo www.yourdomain.com. Para un wildcard, usa *.yourdomain.com.
• Email Address: opcional y no utilizado por las CA públicas. Puedes dejarlo en blanco.
• A challenge password y An optional company name: ambos son atributos obsoletos que las CA públicas ignoran. Déjalos en blanco.

Sin la opción -addext, el CSR resultante no tendrá entradas SAN. Las CA públicas validan contra la lista SAN y rechazarán (o sobrescribirán silenciosamente) una solicitud que no la tenga, así que el camino recomendado es el comando en línea con -subj más -addext mostrado arriba.

Paso 3: Localiza tus archivos y protege la clave

Lista el directorio actual para confirmar que se crearon ambos archivos:

ls

Deberías ver dos archivos nuevos:

• yourdomain.key: tu clave privada. Mantenla en el servidor, respáldala de forma segura y nunca la envíes a nadie, incluida la Autoridad de Certificación. Quien tenga la clave puede hacerse pasar por tu sitio.
• yourdomain.csr: tu Solicitud de Firma de Certificado. Este es el archivo que envías al proveedor de SSL.

Restringe la clave privada para que solo el propietario del archivo pueda leerla, y asegúrate de que el usuario administrador de LiteSpeed (lsadm por defecto) pueda seguir leyendo ambos archivos cuando el listener los cargue:

sudo chmod 600 yourdomain.key
sudo chown lsadm:lsadm yourdomain.key yourdomain.csr

Paso 4: Verifica el CSR (opcional pero recomendado)

Antes de enviarlo, comprueba que el CSR contiene el sujeto y los SAN correctos y que su firma es válida. Esto decodifica la solicitud localmente con OpenSSL:

openssl req -noout -text -verify -in yourdomain.csr

Confirma que la línea Subject muestra tus datos, que X509v3 Subject Alternative Name enumera todos los nombres de host que esperas, y que la comprobación de la firma imprime verify OK. El algoritmo de firma debería mostrar sha256WithRSAEncryption (o ecdsa-with-SHA256 para una clave ECDSA). Si prefieres no usar la línea de comandos, pega el CSR en nuestro decodificador de CSR en línea para leer los mismos campos en un navegador.

Paso 5: Envía tu CSR

Para copiar el CSR para tu pedido, imprime su contenido:

cat yourdomain.csr

Verás un bloque de texto como este:

-----BEGIN CERTIFICATE REQUEST-----
MIICyzCCAbMCAQAwTDELMAkGA1UEBhMCVVMxCzAJBgNVBAgMAkNBMQsw...
...(many more lines of base64 characters)...
-----END CERTIFICATE REQUEST-----

Copia el bloque completo, incluyendo las líneas -----BEGIN CERTIFICATE REQUEST----- y -----END CERTIFICATE REQUEST----- (cada marcador tiene cinco guiones en cada lado). Ese bloque completo es tu CSR. Pégalo en el formulario de pedido durante tu compra, y mantén la clave privada correspondiente en su lugar en el servidor.

Si prefieres no usar la línea de comandos, también puedes generar la solicitud con nuestro generador de CSR en línea. Ten en cuenta que este genera la clave privada en tu navegador, así que guarda esa clave tú mismo y muévela al servidor LiteSpeed.

Una vez que tu CA valide la solicitud, recibirás tu certificado. Según el nivel de validación, esto puede tardar unos minutos para la Validación de Dominio, o hasta varios días laborables para la Validación de Negocio y la Validación Extendida.

Paso 6: Haz referencia a la clave y al certificado en LiteSpeed

Cuando llegue el certificado, coloca el certificado emitido y el paquete de la CA en el servidor junto a la clave, y luego dirige el listener de LiteSpeed hacia ellos. En la consola WebAdmin de LSWS (normalmente en https://your-server-ip:7080), abre Listeners, haz clic en tu listener HTTPS, cambia a la pestaña SSL y edita la sección SSL Private Key & Certificate:

• Private Key File: /usr/local/lsws/conf/ssl/yourdomain.key
• Certificate File: /usr/local/lsws/conf/ssl/yourdomain.crt
• CA Certificate File: /usr/local/lsws/conf/ssl/yourdomain.ca-bundle (los intermedios)

Guarda y luego haz clic en Graceful Restart en el panel de WebAdmin para aplicar el cambio sin interrumpir las conexiones existentes. OpenLiteSpeed usa los mismos campos en la pestaña SSL de cada listener y el mismo botón de Graceful Restart en la esquina superior derecha. Para el recorrido completo de instalación, consulta nuestra guía sobre cómo instalar un certificado SSL en LiteSpeed.