Cómo generar un CSR en WHM

Esta guía muestra cómo generar un CSR en WHM (Web Host Manager), el panel de control a nivel de servidor que se sitúa por encima de las cuentas individuales de cPanel.

WHM crea el CSR, la clave privada correspondiente y un certificado autofirmado en un solo paso, y luego almacena los tres en el SSL Storage Manager para su recuperación. El mismo formulario funciona para certificados de un solo dominio, wildcard y multidominio (SAN).

Debe haber iniciado sesión como administrador root (o como revendedor con el ACL adecuado) para acceder a los menús de SSL. Si solo tiene acceso a una sola cuenta de cPanel, siga en su lugar la guía de CSR en cPanel.

Generar el CSR en WHM

Si ya generó su CSR con otra herramienta, pase directamente a las instrucciones de instalación de SSL en WHM. De lo contrario, siga los pasos a continuación. Las etiquetas coinciden con la interfaz actual de cPanel y WHM (nivel v136 RELEASE a mediados de 2026).

Paso 1: Abra el formulario de SSL

1. Inicie sesión en su panel de WHM.
2. En el cuadro de búsqueda de la parte superior izquierda, escriba SSL.
3. Dentro del grupo SSL/TLS, haga clic en Generate an SSL Certificate and Signing Request.

Este formulario único produce tres elementos: el CSR que envía a su Autoridad de Certificación, la clave privada correspondiente y un certificado autofirmado. Solo necesita el CSR y la clave. El certificado autofirmado se crea automáticamente, pero no es de confianza para los navegadores y puede ignorarse sin problema.

Paso 2: Elija un tipo de clave

En la parte superior del formulario, la sección Key controla cómo se crea la clave privada:

• Generate a new 2,048 bit key (recomendado para la mayoría de sitios). WHM crea una nueva clave privada RSA-2048, la asocia con el CSR y almacena la clave en el SSL Storage Manager. RSA-2048 es la base establecida por el CA/Browser Forum y el tamaño que admiten todas las CA y clientes.
• Generate a new 4,096 bit key. Permitido por todas las CA públicas, pero duplica el costo de CPU del handshake sin una ventaja de seguridad significativa frente a RSA-2048 para TLS público. Elíjalo solo cuando una política interna lo requiera.
• Use an existing key. Elija esta opción si ya creó una clave en WHM y desea reutilizarla, por ejemplo para emitir un certificado de sustitución sin rotar la clave. Las versiones recientes de WHM también muestran aquí las claves ECDSA (curva elíptica) si dispone de alguna.

Deje la opción predeterminada a menos que tenga un motivo específico para cambiarla.

Paso 3: Introduzca el dominio o dominios que desea proteger

En el campo Domains, introduzca el Nombre de Dominio Completamente Cualificado (FQDN) que desea que cubra el certificado. Introduzca un nombre de host por línea para certificados multidominio, o use un prefijo wildcard para un certificado wildcard. Por ejemplo:

www.example.com

Si solicitó un tipo de certificado diferente, ajuste la entrada:

• Certificado wildcard: coloque un asterisco delante del dominio raíz para cubrir todos los subdominios de primer nivel. Por ejemplo: Si necesita tanto el dominio raíz como el wildcard en un mismo certificado, indique ambos:

  *.example.com

  example.com
  *.example.com

• Certificado multidominio (SAN): introduzca todos los nombres de host que debe cubrir el certificado, uno por línea. WHM los incluye en el CSR como Nombres Alternativos del Sujeto. Por ejemplo:

  www.example.com
  example.com
  shop.example.com
  mail.example.com

El primer nombre de host se convierte en el Nombre Común del certificado; el resto se incluye en la extensión SAN. Enumere solo los nombres de host que realmente controle y tenga intención de validar con la CA.

Paso 4: Complete los datos de la organización

Complete los campos restantes. En un certificado de Validación de Dominio (DV) estos valores no se verifican, pero la CA los sigue exigiendo, así que rellénelos con precisión para que el certificado emitido se muestre correcto ante quien lo inspeccione. En un certificado de Validación de Organización (OV) o de Validación Extendida (EV), la CA los contrasta con registros públicos de empresas, y cualquier discrepancia retrasa la emisión.

• City: el nombre completo de la ciudad donde está registrada su organización, por ejemplo Seattle. No lo abrevie.
• State: el nombre completo del estado, provincia o región, por ejemplo Washington. No lo abrevie.
• Country: en el menú desplegable, seleccione el país donde la organización tiene su sede legal.
• Company Name: el nombre legal oficial de la empresa propietaria del dominio (por ejemplo, GPI Holding LLC). Para un certificado DV solicitado por una persona, introduzca su nombre completo. No introduzca aquí el nombre de dominio.
• Company Division (Organizational Unit): el CA/Browser Forum ha eliminado este campo en los certificados TLS públicos, por lo que la mayoría de las CA lo suprimen del certificado emitido. Déjelo en blanco o escriba NA.
• Email: una dirección de contacto para la solicitud. Los certificados TLS públicos modernos no incluyen el correo electrónico en el Subject, pero la CA puede usarlo para la correspondencia del pedido. Si marca la casilla de WHM «When complete, email me the certificate, key, and CSR», esta es también la dirección a la que WHM los enviará.
• Passphrase: déjelo en blanco. Una frase de contraseña aquí se almacena sin cifrar junto con la solicitud y no aporta ninguna finalidad de seguridad; la mayoría de las CA rechazan los CSR que incluyen una. Omítala a menos que su CA se lo haya solicitado explícitamente.
• Description: opcional, para sus propios registros. Déjelo en blanco o anote algo como renovación www.example.com 2026.

Paso 5: Cree la solicitud

Revise el formulario y luego haga clic en Create. WHM muestra el CSR codificado, la clave privada correspondiente y un certificado autofirmado en tres cuadros de texto. El bloque del CSR tiene este aspecto:

-----BEGIN CERTIFICATE REQUEST-----
MIIC2zCCAcMCAQAwgZUxCzAJBgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlh
...base64 content of your CSR...
EE9aJDxhWjEFqYdxPpJv3yhT/4M3xZJP0YuVqYU3MA==
-----END CERTIFICATE REQUEST-----

Seleccione el bloque completo, incluidas las líneas -----BEGIN CERTIFICATE REQUEST----- y -----END CERTIFICATE REQUEST----- (cada marcador tiene cinco guiones a cada lado), y cópielo. Péguelo en el campo del CSR al pedir o reemitir su certificado con su Autoridad de Certificación. Antes de enviarlo, compruebe el CSR con nuestro CSR Decoder para confirmar que el nombre común, la lista de SAN, el tamaño de clave y el algoritmo de firma son los que espera.

Paso 6: Guarde la clave privada

La clave privada es la mitad secreta de su certificado. La necesitará más adelante para instalar el certificado emitido, y solo usted debería tener nunca una copia. WHM la conserva en dos lugares para que pueda recuperarla sin volver a ejecutar el formulario:

• En la interfaz de WHM, dentro de SSL/TLS > SSL Storage Manager. Haga clic en la lupa junto a su clave para verla, o en el icono de descarga para guardarla como archivo.
• En disco, dentro de /var/cpanel/ssl/system/ en el servidor, con el CSR en la subcarpeta csrs/, el certificado en certs/, y la clave privada en keys/.

No elimine la clave mientras el certificado siga en uso. Si la pierde, no podrá instalar el certificado emitido y deberá reemitirlo con un CSR nuevo.

Una vez que la CA valide el CSR y emita el certificado, continúe con las instrucciones de instalación de SSL en WHM.

Cuando no necesita un CSR: AutoSSL

Si solo necesita un certificado de Validación de Dominio, WHM puede emitir y renovar uno de forma gratuita con AutoSSL, que gestiona el CSR y la clave privada por usted en segundo plano. Abra SSL/TLS > Manage AutoSSL, elija un proveedor en la pestaña Providers, acepte sus Términos de Servicio y haga clic en Save. AutoSSL emitirá entonces certificados para las cuentas que habilite y los renovará antes de que caduquen.

El proveedor predeterminado ha cambiado. Hasta la versión 116 de cPanel y WHM, el predeterminado era el proveedor de cPanel impulsado por Sectigo, con Let’s Encrypt como alternativa de un solo clic. cPanel dejó obsoleto el proveedor Sectigo en la versión 118 y lo eliminó por completo en la versión 120 (finales de 2024). Let’s Encrypt es ahora el único proveedor de AutoSSL integrado y la opción recomendada en todas las versiones compatibles.

Genere un CSR manualmente solo cuando haya comprado un certificado (Validación de Organización, Validación Extendida, wildcard o multidominio entre cuentas) o cuando su CA requiera un CSR para la reemisión.

Preguntas frecuentes