Cómo revisar una CSR
- Pega la solicitud, desde
-----BEGIN CERTIFICATE REQUEST-----hasta la línea END correspondiente, o suelta el archivo.csr/.reqen el cuadro. - Revisa Sujeto, Nombres alternativos del sujeto (SAN) y Clave pública en la tarjeta.
- Si quieres, pega la clave privada debajo de la CSR. Su tarjeta solo muestra el tipo y el tamaño de la clave, y un Pin SPKI SHA-256 que puedes comparar con el de la CSR.
- Usa Copiar PEM o Descargar .der si el portal de la CA quiere la solicitud en otra forma.
Qué contiene una solicitud de firma de certificado
Una CSR (PKCS#10) es pequeña: un nombre de sujeto, una clave pública, atributos opcionales y una firma sobre todo ello. El decodificador lo muestra así:
| Campo | Notas |
|---|---|
| Sujeto | C=US, O=Example Corp, CN=app.example.com. En los certificados validados por dominio, la CA solo conserva lo que validó, así que los campos de organización suelen descartarse. |
| Versión | Siempre v1 en PKCS#10. |
| Clave pública | Tipo y tamaño, p. ej. RSA 2048 o EC P-256. Es la parte que acaba en el certificado sin cambios. |
| Algoritmo de firma | Normalmente sha256WithRSAEncryption o ecdsa-with-SHA256. |
| Nombres alternativos del sujeto (SAN), Uso de la clave, Uso extendido de la clave | Extensiones solicitadas. Una CA puede respetarlas, reescribirlas o descartarlas. |
| Atributos | Otros atributos PKCS#9. Un challengePassword se indica como presente, con su valor oculto. |
| Pin SPKI SHA-256 | Hash de la clave pública. El certificado emitido tendrá el mismo pin. |
Errores que conviene detectar antes de enviarla
- Sin nombres alternativos del sujeto. Los navegadores ignoran el CN al comparar nombres de host. Las CA públicas suelen copiar el CN al SAN por ti; las CA internas a menudo no, y el resultado es un certificado que falla por discrepancia de nombre.
- Falta un nombre.
www.example.comyexample.comson dos entradas distintas. Un comodín*.example.comno cubre el propioexample.com. - Clave demasiado pequeña. Las CA de confianza pública exigen RSA de al menos 2048 bits. Una CSR RSA de 1024 bits será rechazada.
- Clave equivocada. Una CSR generada en otro servidor, o a partir de un archivo de clave antiguo, produce un certificado que tu servidor no puede usar. Compara los pines.
- Erratas en el sujeto. Corregirlas ahora cuesta poco; después de una validación OV o EV, mucho.
La herramienta lee la CSR, pero no comprueba su autofirma. Una solicitud truncada o editada puede decodificarse igualmente, así que ejecuta openssl req -verify si tienes dudas.
Crear y verificar una CSR con OpenSSL
Una clave RSA nueva y una CSR con dos nombres de host en un solo paso (OpenSSL 1.1.1 o posterior para -addext):
openssl req -new -newkey rsa:2048 -nodes -keyout app.key -out app.csr \
-subj "/CN=app.example.com" \
-addext "subjectAltName=DNS:app.example.com,DNS:www.app.example.com"
Revísala, incluida la firma, y confirma que corresponde a la clave:
openssl req -in app.csr -noout -text -verify
diff <(openssl req -in app.csr -noout -pubkey) <(openssl pkey -in app.key -pubout) && echo "key matches"
La línea con -verify imprime Certificate request self-signature verify OK cuando la solicitud está intacta. Tienes más recetas para la línea de comandos en la página de OpenSSL.
Qué aspecto tiene una CSR en Base64
Una CSR es DER envuelto en PEM, igual que un certificado. Una solicitud RSA-2048 ocupa unos 650–700 bytes de DER, así que su Base64 empieza por MIIC; una solicitud EC P-256 ronda los 300 bytes y empieza por MIIB. Si lo que recibiste empieza por MIIC pero la cabecera dice CERTIFICATE, es un certificado. Pégalo en el decodificador de certificados; el mismo widget maneja los dos y te dice cuál ha encontrado.
Preguntas frecuentes
¿Cómo compruebo qué dominios hay en una CSR?
Pega la CSR y mira Nombres alternativos del sujeto (SAN). Esa lista decide qué nombres de host cubrirá el certificado; los navegadores ignoran el CN del sujeto. Si la línea no aparece, la solicitud no lleva la extensión SAN.
¿Cómo sé si una CSR corresponde a mi clave privada?
Pega juntas la CSR y la clave privada. Si las dos tarjetas muestran el mismo Pin SPKI SHA-256, comparten el par de claves. Con OpenSSL, compara openssl req -in app.csr -noout -pubkey con openssl pkey -in app.key -pubout.
¿Contiene una CSR la clave privada?
No. Una CSR contiene la clave pública, los nombres solicitados y una firma hecha con la clave privada para demostrar que la tienes. Se puede enviar a una CA sin riesgo, y la clave privada debe quedarse en el servidor.
¿Qué es NEW CERTIFICATE REQUEST en la cabecera?
Una etiqueta antigua que usan keytool de Java y algunas herramientas de Windows. El contenido es la misma estructura PKCS#10, y el decodificador la lee como cualquier otra CSR.