Cómo generar un CSR en Titan SFTP Server

Este tutorial te muestra cómo generar una CSR en Titan SFTP Server. La forma de acceder a las herramientas de certificados depende de qué consola de administración use tu instalación, y esto es lo que conviene aclarar antes de empezar.

Las versiones recientes (la línea NextGen) gestionan los certificados desde una Administrator Console basada en navegador, a la que se accede en una dirección como https://your-server:41443. Las instalaciones anteriores y las gestionadas desde el escritorio usan el clásico Titan FTP Server Administrator de Windows. Las dos consolas ubican las herramientas de certificados en menús distintos, así que los pasos siguientes cubren primero la consola actual basada en navegador, y luego la consola clásica de escritorio en su propia sección al final.

En cualquier caso, el asistente integrado de Titan puede generar una CSR para un certificado de confianza pública, así como un certificado autofirmado para pruebas, y el certificado que instales dará servicio tanto a FTPS como a la interfaz web HTTPS.

Generar una CSR en Titan SFTP Server

Si ya has generado tu CSR y has recibido el certificado firmado de tu CA, salta directamente a instalar un certificado SSL en Titan SFTP Server.

Tienes dos opciones:

• Usar nuestro Generador de CSR para crear la CSR y la clave privada en tu propia máquina, y luego copiar ambos archivos al servidor Titan.
• Seguir los pasos siguientes para crear la CSR dentro de Titan, lo que mantiene la clave privada en el servidor que la va a usar.

Paso 1: Abre las herramientas de certificados

1. Inicia sesión en la Administrator Console de Titan desde tu navegador y selecciona el servidor que quieres proteger en la navegación izquierda.
2. Haz clic en Services y abre la pestaña FTPS/SSL.
3. Haz clic en Manage Certificates para abrir la lista de certificados, y luego haz clic en New para iniciar el asistente de certificados. (El botón vecino Import sirve para cargar un certificado que ya tienes, no para crear uno nuevo.)

Titan mantiene un único almacén de certificados para todo el servidor, así que la misma lista aparece tanto si accedes desde la pestaña FTPS/SSL como desde la pestaña HTTP/HTTPS. Un certificado creado aquí se puede asignar a cualquiera de los dos servicios.

Paso 2: Completa los datos del certificado

El asistente solicita los campos de identidad que componen el sujeto del certificado. Introdúcelos de la siguiente manera:

• Common Name: el nombre de dominio completamente calificado (FQDN) que usan los clientes para llegar al servidor, por ejemplo ftp.tusitio.com. En un servidor FTP este suele no coincidir con el nombre de host de tu sitio web, así que usa el nombre al que realmente se conectan tus usuarios de FTPS y de la web. Para un certificado comodín, coloca un asterisco delante del dominio, como en *.tusitio.com.
• Organization: el nombre legal completo de tu empresa, por ejemplo Tu Empresa S.L.. Para un certificado personal o validado a nivel de dominio, introduce el nombre a cuyo titular está registrado el dominio.
• Department (Unidad Organizativa): el CA/Browser Forum retiró este campo en septiembre de 2022, y ya no está permitido en los certificados TLS de confianza pública. Déjalo en blanco; la CA lo eliminará de todos modos.
• Locality/City: el nombre completo de la ciudad donde está ubicada tu organización, por ejemplo San Francisco. No lo abrevies.
• State/Province: el nombre completo del estado o provincia donde está registrada tu organización, por ejemplo California, escrito completo en lugar de abreviado.
• Country: selecciona tu país, o introduce su código ISO 3166-1 de dos letras, como US, GB o CA.
• Email Address: una dirección de contacto válida. No influye en la emisión, ya que la CA se comunica contigo a través de los datos de contacto de tu pedido, no a través de la CSR.

Si el asistente muestra los campos Valid From y Valid To, ignóralos. Titan muestra fechas de marcador de posición, pero tu CA establece el período de validez real cuando emite el certificado.

Escribe estos datos con cuidado, pero no te obsesiones con ellos. La CA construye el sujeto del certificado a partir de sus propios registros de validación, no de tu CSR. En un certificado validado a nivel de dominio, ninguno de los valores de organización, localidad o estado aparece en absoluto en el certificado emitido. En un certificado con validación de organización o validación extendida sí aparecen, pero solo después de que la CA los confirme frente a registros oficiales, de modo que un error tipográfico aquí se corrige durante la validación en lugar de quedar fijado en el certificado.

Paso 3: Elige el tamaño de la clave

Configura la longitud de la clave antes de generar la solicitud. RSA de 2048 bits es el valor predeterminado y el mínimo que aceptará una CA pública, y es la opción adecuada para la mayoría de los servidores FTP. Puedes pasar a 3072 o 4096 bits si tu propia política de seguridad lo exige, teniendo en cuenta que las claves RSA más grandes aumentan el tiempo del handshake en un servidor de transferencias con mucho tráfico. Si tu compilación ofrece ECDSA, proporciona claves más pequeñas y handshakes más rápidos, pero mantente en las curvas NIST P-256, P-384 o P-521, ya que ninguna otra curva está permitida en certificados de confianza pública, y elígela solo cuando sepas que los clientes que se conectan a tu servidor la admiten.

Paso 4: Protege la clave privada con una contraseña

Si Titan te lo solicita, crea y confirma una contraseña para la clave privada. Esto cifra el archivo de la clave en reposo, lo cual es una buena práctica en un servidor que acepta conexiones externas. Anota la contraseña en tu gestor de contraseñas antes de continuar, porque Titan no puede recuperarla y te la pedirá cuando importes el certificado emitido. Si prefieres no establecer ninguna, dejarla en blanco genera una clave sin cifrar.

Paso 5: Genera la CSR

En la página final, elige enviar el certificado a una CSR para su firma en lugar de autofirmarlo. La autofirma produce un certificado en el que los clientes no confían, lo cual está bien para pruebas internas, pero no para usuarios que necesitan conectarse sin advertencias. Confirma la elección y guarda la solicitud. Titan genera dos elementos: la propia CSR (un archivo .csr, que se envía a tu CA) y la clave privada correspondiente (un archivo .pem), que permanece en el servidor. Según la consola, Titan escribe ambos en una carpeta que elijas, o bien ofrece la CSR para descargar mientras mantiene la clave en el servidor, así que anota dónde queda cada uno y asegúrate de poder volver a encontrar la clave.

Paso 6: Envía la CSR a tu CA

Abre el archivo CSR con cualquier editor de texto, como el Bloc de notas, y copia todo el contenido, incluyendo la primera y la última línea:

-----BEGIN CERTIFICATE REQUEST-----
(base64-encoded data)
-----END CERTIFICATE REQUEST-----

Pega ese texto en el cuadro de CSR del formulario de pedido de tu proveedor de SSL. Cuando el formulario te pregunte qué software de servidor usas, elige Other, ya que Titan rara vez aparece listado por su nombre. Antes de enviarlo, pasa el texto por nuestro Decodificador de CSR para confirmar que el Common Name, el tipo de clave y el tamaño de la clave salieron tal como pretendías. Detectar un error aquí lleva un minuto; detectarlo después de la emisión implica una reemisión.

Deja la clave privada donde Titan la guardó. Nunca se envía a la CA, debe permanecer en el servidor, y le indicarás a Titan dónde está, junto con su contraseña, cuando llegue el certificado firmado. Haz también una copia de seguridad en un lugar seguro, siguiendo nuestra guía sobre almacenamiento de claves privadas. Si se pierde la clave, el certificado emitido queda inutilizable y tendrás que empezar de nuevo con una nueva CSR.

Generar una CSR en el clásico Titan FTP Server Administrator

Si administras Titan a través de la consola clásica de escritorio de Windows en lugar de la Administrator Console basada en navegador, las herramientas de certificados se encuentran en un menú distinto, pero el asistente recopila los mismos datos.

1. Abre el Titan FTP Server Administrator y, en el panel izquierdo, expande hasta el servidor que quieres proteger e inicia sesión.
2. Expande Your Domain > Your Server y haz clic en Security.
3. Haz clic en Certificate Management. En la ventana Certificate Manager que se abre, haz clic en Create.
4. En el SSL Certificate Wizard, completa los mismos campos de identidad descritos anteriormente (Common Name, Organization, Locality/City, State/Province, Country y Email Address), dejando en blanco el campo obsoleto Department, y luego haz clic en Next.
5. Configura el Key Length en 2048 bits (o más) y haz clic en Next.
6. Crea y confirma una contraseña para proteger tu clave privada, y recuérdala para la instalación.
7. Selecciona Generate CSR for signing by a Trusted Certificate Authority, haz clic en el botón de los tres puntos para elegir una carpeta para el archivo .csr y la clave privada .pem, luego haz clic en OK y cierra el Certificate Manager.

A partir de aquí el proceso es idéntico: abre el archivo .csr, copia su contenido y envíalo a tu CA tal como se describe en el Paso 6.