Generador de solicitudes de firma de certificado

Introducción de la herramienta

Una solicitud de firma de certificado (CSR) es el primer paso para obtener un certificado SSL/TLS. Cuando necesite configurar HTTPS en su sitio web, primero debe generar un archivo CSR y enviarlo a una autoridad de certificación (CA) para que lo firme.

Nuestro generador de CSR en línea hace que este proceso sea sencillo y seguro:

• Procesamiento totalmente local: Toda la generación de la CSR se realiza en su navegador; la clave privada nunca sale de su dispositivo
• Compatibilidad con varios algoritmos: Admite los algoritmos de firma RSA (2048/3072/4096 bits) y ECDSA (P-256/P-384/P-521)
• Configuración flexible: Añada varios dominios (SAN), dominios comodín y más
• Sin instalación: No necesita instalar OpenSSL ni otras herramientas de línea de comandos; genere la CSR directamente en el navegador

¿Cuándo necesita generar una CSR?

Necesita generar una CSR en estos casos:

1. Compra de un certificado SSL nuevo: Primera solicitud de un certificado SSL/TLS para un dominio
2. Renovación de un certificado que está por vencer: Cuando un certificado existente está a punto de vencer y debe generarse de nuevo
3. Cambio de la información del dominio: Cuando necesita modificar los nombres de dominio o la información de la organización en el certificado
4. Compromiso de la clave: Si sospecha que la clave privada se ha filtrado, genere de inmediato un par de claves nuevo y una CSR

Cómo elegir un algoritmo de hash para la CSR

Los algoritmos de hash se usan para crear las firmas digitales de los certificados. Elegir el algoritmo de hash adecuado es esencial para la seguridad del certificado. Nuestro generador de CSR admite tres algoritmos de hash habituales:

SHA-256 (recomendado)

SHA-256 es actualmente el algoritmo de hash más utilizado y ofrece el mejor equilibrio entre seguridad y rendimiento:

• Seguridad: Salida de 256 bits, suficiente para resistir todos los ataques conocidos
• Compatibilidad: Compatible con todos los navegadores y sistemas operativos modernos
• Rendimiento: Cálculo rápido, adecuado para la mayoría de los casos
• Uso recomendado: Debe elegirse en el 99 % de los casos

SHA-384

SHA-384 ofrece mayor seguridad, con un coste de cálculo ligeramente superior:

• Seguridad: Salida de 384 bits, con un margen de seguridad mayor
• Casos de uso: Sectores con requisitos de seguridad muy altos, como las finanzas y la sanidad
• Compatibilidad: Compatible con todos los sistemas modernos

SHA-512

SHA-512 ofrece el nivel de seguridad más alto:

• Seguridad: Salida de 512 bits, la garantía de seguridad más sólida
• Impacto en el rendimiento: El cálculo y la verificación son relativamente más lentos
• Casos de uso: Muy pocos escenarios con requisitos de seguridad especiales

Cómo elegir un algoritmo de firma para la CSR

Cuando genere una CSR en línea, debe elegir un algoritmo de firma. Hay dos opciones principales: RSA y ECDSA.

Algoritmo RSA

RSA es el algoritmo de firma más tradicional y más utilizado:

Ventajas:

• Amplia compatibilidad: Compatible con prácticamente todos los dispositivos y navegadores, incluidos los sistemas antiguos
• Maduro y estable: Probado durante décadas de uso real
• Amplio soporte de las CA: Compatible con todas las autoridades de certificación

Desventajas:

• Tamaño de clave grande: Normalmente requiere claves de 2048-bit o 4096-bit para garantizar la seguridad
• Coste de rendimiento: Las operaciones de cifrado y descifrado son relativamente lentas
• Tamaño de certificado grande: Los archivos de certificado generados son más grandes

Longitudes de clave recomendadas:

• 2048 bits: Opción estándar, segura y con buen rendimiento, adecuada para la mayoría de los casos
• 4096 bits: Mayor seguridad, con un impacto perceptible en el rendimiento; adecuada para requisitos de alta seguridad

Algoritmo ECDSA

ECDSA (Elliptic Curve Digital Signature Algorithm) es una opción más moderna:

Ventajas:

• Tamaño de clave compacto: Una clave ECDSA de 256 bits ofrece una seguridad equivalente a una clave RSA de 3072 bits
• Excelente rendimiento: Generación y verificación de firmas más rápidas
• Eficiente en ancho de banda: Certificados más pequeños y transmisión más rápida
• Adecuado para móviles: Se adapta mejor a los dispositivos con recursos limitados

Desventajas:

• Compatibilidad: Algunos sistemas antiguos pueden no admitirlo (por ejemplo, Windows XP y Android 4.x o anteriores)
• Soporte de las CA: Algunas autoridades de certificación pueden no admitirlo o cobrar un recargo

Curvas recomendadas:

• P-256 (secp256r1): Opción estándar, con amplia compatibilidad
• P-384 (secp384r1): Nivel de seguridad superior

¿Cuál debe elegir?

Cómo generar una CSR con OpenSSL

Aunque ofrecemos un generador de CSR en línea cómodo, también es útil saber cómo generar una CSR con herramientas de línea de comandos. OpenSSL es la herramienta de línea de comandos más habitual.

Solicitud de firma de certificado RSA

# Generate 2048-bit RSA private key and CSR
openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key \
  -out domain.csr

# Generate 4096-bit RSA private key and CSR
openssl req -new -newkey rsa:4096 -nodes \
  -keyout domain.key \
  -out domain.csr

# Request configuration section
[req]
default_bits = 2048              # RSA key size in bits
prompt = no                      # Disable interactive prompts
default_md = sha256              # Hash algorithm for signature
distinguished_name = dn          # Reference to DN section below
req_extensions = req_ext         # Reference to extensions section

# Distinguished Name (certificate subject information)
[dn]
C = US                           # Country code
ST = California                  # State or Province
L = San Francisco                # Locality (city)
O = Example Company              # Organization name
CN = autossl.dev                 # Common Name (primary domain)

# Request extensions (additional certificate attributes)
[req_ext]
subjectAltName = @alt_names      # Reference to alternative names section

# Subject Alternative Names (additional domains for this certificate)
[alt_names]
DNS.1 = autossl.dev              # Primary domain
DNS.2 = www.autossl.dev          # Subdomain with www
DNS.3 = *.autossl.dev            # Wildcard for all subdomains

openssl req -new -nodes \
  -newkey rsa:2048 \
  -keyout domain.key \
  -out domain.csr \
  -config csr.conf

openssl req -new -newkey rsa:2048 -nodes \
  -keyout domain.key -out domain.csr \
  -subj "/C=US/ST=California/L=San Francisco/O=Example Company/CN=autossl.dev"

Solicitud de firma de certificado ECDSA

# Generate ECDSA private key using P-256 curve
openssl ecparam -genkey -name prime256v1 -out domain.key

# Using P-384 curve
openssl ecparam -genkey -name secp384r1 -out domain.key

# Generate CSR based on private key
openssl req -new -key domain.key -out domain.csr

Verificar la CSR generada

Después de generar la CSR, use estos comandos para comprobar su contenido:

# View detailed CSR information
openssl req -text -noout -in domain.csr

# Verify CSR signature
openssl req -verify -in domain.csr

# Extract domain information from CSR
openssl req -noout -subject -in domain.csr

Preguntas frecuentes

¿Cuál es la relación entre la CSR y la clave privada?

Cuando genera una CSR, en realidad genera un par de claves: una clave privada y una clave pública. La CSR contiene la clave pública y su información de identidad, mientras que la clave privada debe mantenerse confidencial. La CA usa la información de la CSR para emitir un certificado, que solo puede usarse con la clave privada correspondiente.

¿Se puede reutilizar la misma CSR?

Técnicamente sí, pero no se recomienda. La práctica recomendada es generar un par de claves y una CSR nuevos cada vez que solicite un certificado nuevo. Si un certificado vence o debe volver a emitirse (por ejemplo, al cambiar de CA), debe generar una solicitud de firma de certificado nueva.

¿Qué debe conservar después de enviar la CSR?

Debe conservar el archivo de la clave privada. Cuando se emita el certificado, necesitará la clave privada para configurar SSL/TLS. Si pierde la clave privada, no podrá usar el certificado aunque lo tenga, y tendrá que volver a solicitarlo.

¿Qué diferencia hay entre las herramientas en línea y la generación por línea de comandos?

Desde el punto de vista funcional, no hay diferencia. Nuestro generador de CSR usa la API Web Crypto para generar las claves en el navegador, y el resultado es totalmente compatible con el de OpenSSL. La ventaja de las herramientas en línea es que son más intuitivas y fáciles de usar: no requieren instalar software ni memorizar comandos.

Buenas prácticas

1. Selección de la longitud de clave: Para RSA, use al menos 2048 bits; para ECDSA, use P-256 o superior
2. Actualización periódica del certificado: No espere a que el certificado venza para renovarlo; se recomienda renovarlo con 30 días de antelación
3. Use SHA-256: Salvo que tenga requisitos especiales, SHA-256 es la mejor opción
4. Añada SAN: Si su sitio web tiene varios dominios (como autossl.dev y www.autossl.dev), añádalos todos al generar la CSR
5. Proteja las claves privadas: Use permisos de archivo estrictos y valore el almacenamiento cifrado
6. Haga copias de seguridad de las claves privadas: Guarde copias en un lugar seguro y asegúrese de que esas copias también estén protegidas

Use ahora nuestra herramienta generadora de CSR para generar con rapidez y seguridad las solicitudes de firma de certificado de su sitio web.