Cómo generar un CSR en Skype for Business Server

Esta guía le muestra cómo generar un CSR (Certificate Signing Request) en Skype for Business Server. Puede crear la solicitud de dos maneras: con el asistente gráfico Certificate Wizard dentro del Skype for Business Server Deployment Wizard, o con el cmdlet Request-CsCertificate en el Skype for Business Server Management Shell. Ambos métodos leen los nombres del certificado a partir de su topología publicada, por lo que resultan más fiables aquí que una herramienta genérica de CSR.

Estos pasos se aplican a Skype for Business Server (local): 2015, 2019 y Subscription Edition. No se aplican a Skype for Business Online, que se retiró el 31 de julio de 2021, ni al Skype de consumo, que se retiró el 5 de mayo de 2025. Si su organización ya migró a Microsoft Teams, Microsoft gestiona los certificados del servicio y no hay ningún CSR que generar.

Verifique primero su versión de Skype for Business Server

Abra el Skype for Business Server Management Shell y liste la compilación de cada componente instalado:

Get-CsServerPatchVersion

El cmdlet relacionado Get-CsServerVersion informa únicamente sobre la licencia y la compilación base del servidor local, sin la actualización acumulativa, así que use Get-CsServerPatchVersion cuando necesite saber exactamente en qué nivel de actualización se encuentra.

Estado de soporte a julio de 2026:

• Skype for Business Server 2015 y 2019 alcanzaron el final del soporte extendido el 14 de octubre de 2025.
• El programa de pago Extended Security Update se ejecutó de octubre de 2025 a finales de abril de 2026 (Período 1). Una segunda ventana, el Período 2, va de mayo de 2026 a finales de octubre de 2026. El Período 2 debe comprarse por separado: adquirir el Período 1 no se traslada automáticamente al segundo, y no es necesario haber comprado el Período 1 para adquirir el Período 2.
• Microsoft reafirmó el 21 de julio de 2026 que no habrá más prórrogas. Una vez que termine octubre de 2026 no habrá más actualizaciones para 2015 ni 2019, ni siquiera para las organizaciones que cuenten con la ESU del Período 2.
• Skype for Business Server Subscription Edition comenzó el 1 de julio de 2025, sigue la Modern Lifecycle Policy de Microsoft y es la versión local actual. Se instala como una actualización in situ de Skype for Business Server 2019.

El procedimiento de CSR es idéntico en las tres versiones. El estado de soporte no cambia el comportamiento de los certificados: un certificado caducado interrumpe el inicio de sesión de los clientes, la incorporación a reuniones y el TLS servidor a servidor sea cual sea la versión que utilice, así que siga renovando mientras planifica la migración.

Antes de generar el CSR

• Publique primero su topología. Ambas rutas leen el nombre de sujeto y los nombres alternativos del sujeto a partir del documento de topología que Topology Builder publicó en el almacén de gestión central (Central Management store). El asistente los muestra en una página de resumen de solo lectura. Si un nombre ahí es incorrecto, cancele el asistente, corríjalo en Topology Builder, vuelva a publicar y comience de nuevo la solicitud.
• Cree primero los registros DNS. Cada nombre que termine en el certificado debe poder resolverse para los clientes que lo utilizarán.
• Verifique sus permisos. Para ejecutar el Certificate Wizard debe ser miembro de RTCUniversalServerAdmins. Microsoft indica que una solicitud sin conexión a una CA pública no requiere ninguna otra pertenencia a grupo más allá de esa, pero procesar la respuesta de la CA y asignar el certificado después también requiere pertenecer al grupo local Administrators. Solicitar en línea a una CA interna de Windows requiere Administrators local además de una cuenta de dominio autenticada en el dominio que aloja la CA.
• Decida qué certificado está solicitando. Un Front End o un servidor Standard Edition tiene un certificado predeterminado (Default) más certificados de servicios web internos y externos. Un Edge Server tiene un certificado externo independiente y un certificado interno. No son intercambiables.

¿Qué certificados de Skype for Business puede firmar una CA pública?

No todos, y este es el punto que suele confundir a la mayoría. Desde noviembre de 2015, los Requisitos de Referencia (Baseline Requirements) del CA/Browser Forum prohíben a las CA de confianza pública emitir certificados para nombres de servidor internos y direcciones IP reservadas. Cualquier nombre que termine en .local, cualquier nombre de host de una sola etiqueta y cualquier FQDN en un dominio que no posea públicamente no puede figurar en un certificado público.

• De una CA pública: el certificado externo de Edge y el certificado del proxy inverso. La recomendación de Microsoft es que las interfaces externas de Edge necesitan, como mínimo, un certificado de una CA pública, porque los clientes externos y los socios federados deben confiar en él.
• Normalmente de su CA interna: el certificado predeterminado (Default), el certificado de servicios web internos, el certificado del Director y el certificado interno de Edge. Estos contienen FQDN de pool y de servidor que suelen ser nombres internos. Si sus FQDN internos resultan estar en un dominio de su propiedad pública, puede comprar en su lugar un certificado público para ellos. Microsoft permite explícitamente que el certificado interno de Edge provenga de una CA pública o de su CA interna.

Debido a que el certificado externo contiene varios nombres a la vez, normalmente se trata de un certificado multidominio (UCC/SAN). Microsoft documenta las entradas wildcard como compatibles para los nombres de URL simples y para los nombres de autodiscover, pero el certificado Edge documentado enumera explícitamente cada nombre de acceso SIP, así que agregue una entrada independiente de sip.sudominio.tld por cada dominio SIP en lugar de depender de un wildcard.

Planifique el nombre de sujeto y las entradas SAN

Los certificados de Skype for Business dependen en gran medida de los SAN, y los navegadores y clientes comparan el nombre de host con el campo SAN, no con el Common Name. Acertar con esta lista antes de realizar el pedido marca la diferencia entre un certificado y una reemisión. La tabla utiliza los propios dominios de ejemplo de Microsoft: contoso.com como dominio SIP principal, fabrikam.com como segundo dominio SIP y contoso.net como dominio interno.

Certificado	Nombre de sujeto (CN)	Nombres alternativos del sujeto	Ejemplo
Predeterminado (Standard Edition o pool de Front End)	FQDN del pool	FQDN del pool y FQDN del servidor. Agregue sip.dominiosip para cada dominio SIP si este pool es el servidor de inicio de sesión automático y se aplica una coincidencia estricta de DNS en la directiva de grupo.	SN=eepool.contoso.com; SAN=eepool.contoso.com; SAN=ee01.contoso.com
Web interno	FQDN del pool (FQDN del servidor en Standard Edition)	FQDN web interno, FQDN del servidor, FQDN del pool, la URL simple de Meet para cada dominio SIP, la URL simple de Dial-in y la URL simple de Admin	SN=eepool.contoso.com; SAN=eepool.contoso.com; SAN=ee01.contoso.com; SAN=meet.contoso.com; SAN=meet.fabrikam.com; SAN=dialin.contoso.com; SAN=admin.contoso.com
Web externo	FQDN del pool (FQDN del servidor en Standard Edition)	FQDN web externo, la URL simple de Meet para cada dominio SIP, y la URL simple de Dial-in	SN=eepool.contoso.com; SAN=webcon01.contoso.com; SAN=meet.contoso.com; SAN=meet.fabrikam.com; SAN=dialin.contoso.com
Mobility (añadido a los certificados de Front End y Director)	Como arriba	El nombre de autodiscover interno y el externo, un par por cada dominio SIP	SAN=lyncdiscoverinternal.contoso.com; SAN=lyncdiscover.contoso.com
Edge externo	El nombre sip de su dominio SIP principal	Una entrada sip por cada dominio SIP más el FQDN de Edge de conferencia web	SN=sip.contoso.com; SAN=sip.contoso.com; SAN=webcon.contoso.com; SAN=sip.fabrikam.com
Edge interno	FQDN interno de Edge	Ninguno. El certificado interno de Edge usa solo un nombre de sujeto.	SN=sfbedge.contoso.net
Proxy inverso	FQDN de servicios web externos	El nombre de autodiscover externo más sus FQDN de servicios web externos	SAN=lyncdiscover.contoso.com; SAN=skypewebextpool01.contoso.com; SAN=dirwebexternal.contoso.com

Cuatro detalles que vale la pena revisar antes de enviar la solicitud:

• URL simples. Necesita una URL simple de Meet por cada dominio SIP, una URL simple de Dial-in para toda la organización, y la URL simple de Admin es opcional. Toda URL de Meet que utilice debe figurar en el certificado.
• sipinternal y sipexternal. Si creó registros sipinternal.contoso.com o sipexternal.contoso.com en el DNS, Microsoft también los exige en la lista SAN.
• El nombre de A/V no es un SAN. av.contoso.com es un registro DNS para el servicio A/V Edge, que no utiliza un certificado para cifrar los medios, por lo que no debe incluirse en la solicitud. El certificado externo de Edge se asigna a Access Edge, Web Conferencing Edge y al servicio independiente de A/V Authentication.
• Los pools de Edge comparten un solo certificado. Cada Edge Server de un pool debe llevar exactamente el mismo certificado y la misma clave privada para el servicio de autenticación del relé de medios, por lo que esta es la única solicitud en la que sí necesita una clave privada exportable.

Generar el CSR con el Deployment Wizard

Si ya generó su CSR con otra herramienta, omita esto y siga en su lugar nuestra guía sobre cómo instalar un certificado SSL en Skype for Business Server.

Ejecute estos pasos en el servidor para el que se destina el certificado: el Front End Server para un certificado predeterminado o de servicios web, el Edge Server para un certificado de Edge.

1. Abra Inicio y ejecute el Skype for Business Server Deployment Wizard.
2. Haga clic en Install or Update Skype for Business Server System.
3. Junto a Step 3: Request, Install or Assign Certificates, haga clic en Run. Aparecerá como Run Again si ya existen certificados en este equipo.
4. En el Certificate Wizard, seleccione el certificado que necesita (por ejemplo, Default certificate, o External Edge certificate en un Edge Server) y haga clic en Request.
5. Elija Prepare the request now, but send it later (offline certificate request). Esa es la opción para una CA pública. La alternativa, Send the request immediately to an online certification authority, se inscribe con una CA dentro de su propia PKI, normalmente una CA interna de Windows, y no es una vía hacia una CA pública.
6. Escriba la ruta y el nombre de archivo para la solicitud en el cuadro File Name, o haga clic en Browse para elegir una ubicación. Tome nota de dónde lo guarda. La ubicación predeterminada es la carpeta Documents de la cuenta que ejecuta el asistente.
7. En la página Name and Security Settings, escriba un Friendly Name que sea único en el almacén de certificados del equipo, luego elija la Bit length. La lista ofrece 1024, 2048 y 4096: elija 2048, ya que ninguna CA pública firmará una clave de 1024 bits. Deje sin marcar la casilla Mark the certificate’s private key as exportable a menos que esté solicitando el certificado para un pool de Edge Server, que es el caso que Microsoft señala como el que lo requiere.
8. En la página Organization Information complete Organization y Organizational Unit. La OU es texto libre en el certificado y no tiene que coincidir con una unidad organizativa de Active Directory.
9. En la página Geographical Information seleccione el Country, luego escriba State/Province y City/Locality. Escriba ambos de forma completa, por ejemplo Arizona en lugar de AZ.
10. Revise la página Subject Name / Subject Alternative Names. Estas entradas provienen de su topología publicada y no se pueden editar aquí. Si alguna es incorrecta, haga clic en Cancel, corríjala en Topology Builder, vuelva a publicar la topología y comience de nuevo la solicitud.
11. En la página SIP Domain setting on Subject Alternate Names (SANs), marque su dominio SIP principal y cualquier otro dominio SIP que este certificado deba cubrir. Si no marca ninguno y su configuración cambia más adelante, tendrá que solicitar un nuevo certificado.
12. En la página Configure Additional Subject Alternate Names, agregue cualquier nombre que la topología no haya proporcionado: escriba el FQDN y haga clic en Add. Remove y Clear All solo afectan a las entradas que agregó en esta página, no a los nombres que provienen de la topología.
13. Revise el resumen de la solicitud y haga clic en Next para generar el CSR. En la página Certificate Request File, haga clic en View para abrir la solicitud en el Bloc de notas y poder copiarla, luego haga clic en Finish.

Generar el CSR con PowerShell

Abra el Skype for Business Server Management Shell como administrador y ejecute Request-CsCertificate. Este cmdlet crea la misma solicitud que el asistente: analiza su topología antes de escribir el archivo y completa por usted el nombre de sujeto y los nombres alternativos del sujeto.

Una solicitud sin conexión completa para un Front End Server tiene este aspecto. Es una sola línea, así que cópiela entera:

Request-CsCertificate -New -Type Default,WebServicesInternal,WebServicesExternal -ComputerFqdn "ee01.contoso.com" -FriendlyName "SfB Front End 2026" -KeySize 2048 -Organization "Contoso Ltd" -OU "IT" -Country US -State "Arizona" -City "Phoenix" -DomainName "meet.contoso.com,dialin.contoso.com,admin.contoso.com,lyncdiscover.contoso.com" -Output "C:certscontoso_sfb.csr"

Qué hace cada parte:

• -New inicia una nueva solicitud y es obligatorio para esta forma del comando.
• -Type es obligatorio. Nombra los roles de servicio que cubre el certificado, y esos roles determinan qué FQDN coloca el cmdlet en el campo SAN.
• -Output escribe una solicitud sin conexión en la ruta que indique. Esto es lo que hace que el comando produzca un CSR que pueda enviar a una CA pública. Omítalo y agregue -CA en su lugar, y el cmdlet se conectará directamente a una CA interna de Windows.
• -ComputerFqdn es el FQDN del equipo para el que se destina el certificado. La recomendación de Microsoft es usar siempre el nombre del equipo, incluso cuando esté solicitando un certificado de pool, porque el cmdlet añade el nombre del pool al sujeto por su cuenta.
• -DomainName toma una lista separada por comas de FQDN adicionales para añadir al campo SAN, además de los que proporciona la topología.
• -Organization, -OU, -Country, -State y -City completan el sujeto. Country toma el código de dos letras (US, GB, DE); escriba el estado y la ciudad de forma completa.
• -KeySize acepta 1024, 2048 y 4096. Use 2048 o superior.
• -FriendlyName etiqueta el certificado en el almacén de Windows, y debe ser único en ese almacén.
• -PrivateKeyExportable $True marca la clave como exportable. Actívelo solo cuando realmente necesite copiar el certificado a otra máquina, como en el caso del pool de Edge que se describe más abajo.
• -AllSipDomain agrega todos los dominios SIP al campo SAN. Sin esta opción, solo el dominio SIP principal se incluye automáticamente.
• -Template nombra una plantilla de certificado en una CA interna. No tiene ningún significado para una solicitud a una CA pública.

Tipos de certificado que puede pasar a -Type

Microsoft documenta estos valores, y aclara que la lista no es exhaustiva: AccessEdgeExternal, AudioVideoAuthentication, DataEdgeExternal, Default, External, Internal, iPhoneAPNService, iPadAPNService, MPNService, PICWebService, ProvisionService, WebServicesExternal, WebServicesInternal y WsFedTokenTransfer. Separe varios tipos con comas.

Dos de ellos son callejones sin salida en un servidor local: Microsoft enumera PICWebService y ProvisionService como tipos de Skype for Business Online, y ese servicio se retiró en 2021. En la práctica utilizará una de estas tres combinaciones:

• Front End o Director: -Type Default,WebServicesInternal,WebServicesExternal
• Interfaz interna de Edge: -Type Internal
• Interfaces externas de Edge: -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication

La solicitud de Edge externo es la que necesita una clave exportable, porque cada Edge Server del pool debe compartir el mismo certificado y la misma clave:

Request-CsCertificate -New -Type AccessEdgeExternal,DataEdgeExternal,AudioVideoAuthentication -ComputerFqdn "sfbedge01.contoso.net" -FriendlyName "SfB Edge External 2026" -KeySize 2048 -PrivateKeyExportable $True -Organization "Contoso Ltd" -OU "IT" -Country US -State "Arizona" -City "Phoenix" -DomainName "sip.contoso.com,webcon.contoso.com,sip.fabrikam.com" -Output "C:certscontoso_edge.csr"

Mantenga RSA como algoritmo de clave

El cmdlet también tiene un parámetro -KeyAlg que acepta RSA, ECDH_P256, ECDH_P384 y ECDH_P521. Los propios requisitos del sistema de Microsoft establecen que Skype for Business Server no admite certificados CNG, y las CA públicas esperan RSA en este flujo de trabajo, así que no toque -KeyAlg y deje que la solicitud use RSA. El mismo documento también descarta el algoritmo de firma RSASSA-PSS, del que indica que puede causar fallos de inicio de sesión y desvío de llamadas.

Gestión de solicitudes que ya ha realizado

El mismo cmdlet hace un seguimiento de sus propias solicitudes pendientes. Puede listarlas, recuperar una que ya se haya emitido, o eliminar una por su ID de solicitud:

Request-CsCertificate -List
Request-CsCertificate -Retrieve
Request-CsCertificate -Clear -RequestId 224

Eliminar una solicitud también es la solución documentada cuando la recuperación falla porque una solicitud revocada está bloqueando el proceso: Request-CsCertificate solo gestiona los estados Issued, Denied y Pending.

Envíe el CSR a su entidad de certificación

Abra el archivo que guardó en un editor de texto plano. El botón View del asistente lo abre en el Bloc de notas por usted. Copie todo, incluidas las líneas de encabezado y pie. Windows normalmente las escribe así:

-----BEGIN NEW CERTIFICATE REQUEST-----
MIICtjCCAZ4CAQAwcTELMAkGA1UEBhMCVVMxEDAOBgNVBAgMB0FyaXpvbmExEDAO
... many more lines of base64 ...
jCD4RG92Kab0LzO1Hl07fPvTf8j4kDkWhlE=
-----END NEW CERTIFICATE REQUEST-----

Algunas herramientas escriben BEGIN CERTIFICATE REQUEST sin la palabra NEW. Ambas son la misma solicitud PKCS #10 y las entidades de certificación aceptan cualquiera de las dos. Tenga en cuenta que esos marcadores son cinco guiones simples a cada lado. Si un procesador de texto o un campo de texto enriquecido los convierte en guiones tipográficos, o elimina un salto de línea, la CA rechazará la solicitud por estar mal formada, así que pegue en un campo de texto plano.

Antes de pagar por la validación, pase el bloque por nuestro CSR Decoder y confirme que todos los nombres de su tabla de planificación realmente aparecen en la lista SAN. Una URL de Meet ausente o un segundo dominio SIP olvidado significa una reemisión.

Dos cosas a evitar mientras espera el certificado:

• No elimine la solicitud pendiente ni reconstruya el servidor. La clave privada permanece en el almacén de certificados de ese servidor y nunca sale de él. El certificado emitido es inútil sin la clave correspondiente.
• No solicite un segundo CSR para el mismo certificado y envíe ambos. Cada solicitud crea su propio par de claves, y el certificado que devuelva la CA solo se emparejará con una de ellas.

Planifique la fecha de renovación desde ahora. Desde el 15 de marzo de 2026, los certificados TLS de confianza pública tienen un límite de 200 días, que se reduce a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Una renovación manual guiada por asistente en Skype for Business ahora se repite al menos dos veces al año, así que anótela en el calendario junto con las notas de topología.

Si prefiere no generar la solicitud en el servidor en absoluto, nuestro CSR Generator crea un CSR y una clave privada en su navegador. En Skype for Business esa es la opción más débil, porque la solicitud no recogerá los nombres de su topología y luego tendría que convertir el certificado emitido a un archivo .pfx e importar la clave manualmente.

Después de que la CA emita su certificado

La CA devuelve el certificado una vez que finaliza la validación. Impórtelo en el mismo servidor y luego asígnelo a los roles de servicio para los que lo solicitó, ya sea de nuevo en el Step 3 del Deployment Wizard o con los cmdlets Import-CsCertificate y Set-CsCertificate. Nuestra guía complementaria sobre cómo instalar un certificado SSL en Skype for Business Server explica ambos métodos paso a paso.

Dado que generó la solicitud en este servidor, la clave privada ya está en su almacén de certificados, por lo que lo que devuelve la CA es solo el certificado. Impórtelo tal como se entrega: un archivo .cer o .crt, o el paquete .p7b que muchas CA envían para Windows. No hay nada que convertir. Solo necesita un archivo PKCS#12 (.pfx o .p12) cuando el certificado y su clave privada deben viajar juntos, que es el caso cuando creó el CSR en otra máquina. Combínelos primero con OpenSSL y luego importe el .pfx con su contraseña:

openssl pkcs12 -export -out cert.pfx -inkey private.key -in cert.crt -certfile chain.crt

Una vez que el certificado esté asignado y los servicios se hayan reiniciado, escanee el nombre externo con nuestro SSL Checker para confirmar que la cadena y la lista SAN son las que espera.

Preguntas frecuentes