Como Gerar um CSR para um Certificado SSL

O Que Você Precisa Antes de Começar

• Acesso ao servidor ou painel de controle que hospedará o certificado, ou use o nosso Gerador de CSR caso não o tenha.
• Os detalhes da sua organização exatamente como estão legalmente registados. As autoridades certificadoras verificam-nos para os certificados OV e EV.
• Uma decisão sobre o tipo de chave: RSA 2048-bit é o padrão mínimo. ECC (por exemplo, P-256) é uma opção moderna mais rápida se o seu servidor a suportar.
• Uma CSR por certificado. Gere uma nova de cada vez que encomendar ou renovar com uma nova chave.

Toda CSR pede os mesmos campos. Aqui está o que colocar em cada um:

Campo	O que inserir	Exemplo
Common Name (CN)	O domínio exato a proteger (FQDN)	www.example.com
Organization (O)	O nome legal da sua empresa	Example LLC
Organizational Unit (OU)	Departamento (opcional)	TI
Locality (L)	Cidade	Austin
State (ST)	Nome completo do estado ou região, sem abreviatura	Texas
Country (C)	Código de país ISO de duas letras	US
Email	E-mail de contacto (opcional)	[email protected]

O ficheiro final é uma solicitação padrão PKCS #10. Ele contém a sua chave pública juntamente com estes detalhes, e é assinado com a sua chave privada para que a autoridade certificadora possa confirmar que as duas pertencem uma à outra.

Dica: para um certificado wildcard, defina o Common Name como *.example.com. Para vários domínios num único certificado, mantenha o seu domínio principal como Common Name e adicione os outros como Subject Alternative Names (SANs), e não como Common Names adicionais.

---

Método 1: Gerar uma CSR com OpenSSL (Apache, Nginx, Linux)

O OpenSSL é a forma universal de gerar uma CSR no Apache, Nginx e na maioria dos servidores Linux. Conecte-se ao seu servidor via SSH e execute:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Aqui está o que cada parte faz:

• req -new cria uma nova CSR.
• -newkey rsa:2048 gera simultaneamente uma nova chave privada RSA de 2048 bits.
• -nodes deixa a chave privada sem frase-passe, para que o seu servidor a possa carregar sem pedir confirmação ao reiniciar.
• -keyout example.key guarda a chave privada.
• -out example.csr guarda a CSR.

O OpenSSL pede então os campos da tabela acima. Introduza o seu Common Name, organização e detalhes de localização. Pode deixar a palavra-passe de desafio em branco.

Para ignorar os pedidos e adicionar SANs numa única linha, passe o subject e as extensões diretamente:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr \
  -subj "/C=US/ST=Texas/L=Austin/O=Example LLC/OU=IT/CN=www.example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Atenção: a flag -addext requer OpenSSL 1.1.1 ou mais recente. Alguns servidores CentOS 7 e RHEL 7 mais antigos ainda vêm com o OpenSSL 1.0.2, onde essa flag não existe. Nesses casos, adicione os seus SANs através de um ficheiro de configuração. Execute openssl version se não tiver a certeza.

Abra o ficheiro final example.csr e copie tudo desde —–BEGIN CERTIFICATE REQUEST—– até —–END CERTIFICATE REQUEST—–. Mantenha o example.key privado. Vai precisar dele para instalar o certificado mais tarde, e não pode ser recuperado se o perder.

Prefere ECC? Gere primeiro a chave e depois construa a CSR a partir dela:

openssl ecparam -genkey -name prime256v1 -out example.key
openssl req -new -key example.key -out example.csr

Quer os passos exatos para a sua distribuição? Consulte os nossos guias para Apache, Nginx, Ubuntu, Debian e Red Hat Linux.

---

Método 2: Gerar uma CSR no cPanel

Se o seu alojamento usa cPanel, não precisa da linha de comando.

1. Inicie sessão no cPanel e abra SSL/TLS na secção Segurança.
2. Clique em Certificate Signing Requests (CSR).
3. Em Generate a New Certificate Signing Request (CSR), preencha os campos da tabela acima. Use o seu domínio completo como valor de Domains ou Common Name.
4. Clique em Generate.

O cPanel mostra a CSR codificada no ecrã seguinte. Copie-a para o seu pedido. O cPanel armazena a chave privada correspondente para você em Private Keys, pelo que não precisa de a guardar manualmente, mas tome nota de onde está para efeitos de instalação.

Se não encontrar a CSR mais tarde, ela permanece listada no mesmo ecrã Certificate Signing Requests, pelo que pode voltar a copiá-la sem a regenerar.

Está a usar WHM em vez do cPanel? O processo é quase idêntico, em SSL/TLS → Generate an SSL Certificate and Signing Request. Guias passo a passo: cPanel e WHM.

---

Método 3: Gerar uma CSR no Windows (IIS)

Em servidores Windows com IIS:

1. Abra o IIS Manager e selecione o nome do seu servidor no painel esquerdo.
2. Faça duplo clique em Server Certificates.
3. No painel de Ações, clique em Create Certificate Request.
4. Preencha os campos do Distinguished Name: Common Name, Organization, Organizational Unit, City, State e Country.
5. Escolha um fornecedor criptográfico e defina o comprimento de bits para 2048 ou superior, e depois guarde a CSR num ficheiro.

Deixe o fornecedor como Microsoft RSA SChannel Cryptographic Provider, a menos que tenha uma razão específica para o alterar. Qualquer outra opção pode tornar mais difícil vincular posteriormente o certificado emitido ao seu site.

O IIS mantém a chave privada pendente no armazenamento de certificados do servidor, por isso conclua o pedido através de Complete Certificate Request depois de o certificado ser emitido. Não reconstrua o servidor nem elimine o pedido pendente entretanto, ou a chave desaparece e será necessária uma reemissão. Em máquinas Windows sem IIS, pode gerar uma CSR com certreq ou com o snap-in de Certificados da MMC.

Tutoriais completos: Microsoft IIS e Microsoft Windows.

---

Método 4: Gerar uma CSR com o Nosso Gerador de CSR Gratuito

Sem acesso ao servidor, ou apenas quer que seja feito em segundos? Use a nossa ferramenta gratuita.

Abra o Gerador de CSR, preencha o seu Common Name, organização e localização, e depois gere. A ferramenta cria de imediato tanto a CSR como a chave privada e envia a chave por e-mail como cópia de segurança. Copie a CSR para o seu pedido e guarde a chave privada em local seguro.

Duas notas honestas:

• A ferramenta gera a chave privada por si, o que é adequado para a maioria dos certificados DV e OV. Se a sua política de segurança exigir que a chave nunca saia do seu próprio servidor, use o OpenSSL ou o seu painel de controle.
• O gerador não funciona para certificados de assinatura de código. Desde junho de 2023, as chaves de assinatura de código devem ser criadas e armazenadas em hardware seguro, por isso gere-as no seu token ou HSM.

Gere a sua CSR agora →

---

Depois de Gerar a CSR: Verificação e Próximos Passos

Antes de enviar a CSR, vale a pena fazer uma verificação rápida.

Um decodificador mostra o que há dentro da CSR, mas não se ela pertence à chave que está ao lado dela. Se as duas foram geradas separadamente, ou se o servidor possui mais de uma chave, confirme se a CSR e a chave privada formam um par antes de fazer o pedido.

1. Verifique-a. Cole a CSR no nosso Descodificador de CSR para confirmar que o Common Name e os detalhes da organização estão corretos. Um erro de digitação aqui significa uma reemissão mais tarde.
2. Envie-a. Copie a CSR completa para o seu pedido de certificado. A autoridade certificadora verifica-a e emite o seu certificado SSL X.509.
3. Instale o certificado. Assim que for emitido, siga o nosso guia sobre como instalar um certificado SSL, usando a chave privada que guardou anteriormente.

A maioria das autoridades certificadoras envia o certificado emitido por e-mail em minutos no caso de um certificado DV, geralmente como um ficheiro .crt ou .cer juntamente com um pacote intermédio. Guarde-o junto com a chave privada que gerou.

Mantenha essa chave privada com cópia de segurança e em local privado durante toda a vida do certificado. Sem ela, o certificado não pode ser instalado.

---

Erros Comuns na CSR e Como Corrigi-los

• Common Name errado. O certificado protege exatamente o que digitar. example.com e www.example.com são diferentes. Adicione ambos (um como CN, outro como SAN) se precisar de ambos.
• SANs em falta. Os navegadores modernos dependem dos Subject Alternative Names, e não apenas do Common Name. Liste todos os domínios que o certificado deve cobrir.
• A CSR e a chave privada não correspondem. Uma CSR só funciona com a chave gerada em conjunto com ela. Se perder a chave ou gerar uma nova CSR, terá de fazer uma reemissão. Nunca elimine a chave antes de o certificado estar instalado.
• Código de país errado. O campo Country utiliza o código ISO de duas letras (US, GB, DE), e não o nome completo do país. Escrever “United States” é uma das razões mais comuns para uma CSR ser rejeitada.
• Caracteres abreviados ou especiais nos campos da organização. Escreva o nome do estado por extenso e evite caracteres como @, & ou acentos nos campos da organização, uma vez que algumas CAs os rejeitam.
• Usar o Gerador de CSR para assinatura de código. As CSRs de assinatura de código devem provir de hardware seguro. O nosso Gerador de CSR destina-se apenas a certificados TLS/SSL.

---

Perguntas Frequentes