CSR, clave privada y certificado
Para un certificado primero creas un par de claves. La clave privada se queda contigo; la pública va, junto con los nombres de dominio, en una solicitud de firma de certificado (CSR). La CA valida el dominio, firma y te devuelve el certificado. Solo funciona con exactamente la clave de la que salió el CSR.
Qué lleva un CSR
- Nombres (SAN): todos los dominios que debe cubrir el certificado. Los navegadores solo miran esta lista; el Common Name por sí solo hace años que no basta. Por eso la herramienta lo añade automáticamente como SAN.
- Clave: RSA 2048 es el estándar compatible. ECDSA P-256 es más corta, más rápida e igual de segura, y todos los sistemas actuales la admiten.
- Organización, ciudad, país: solo importan para certificados OV y EV. En los certificados validados por dominio (p. ej. Let's Encrypt) la CA los ignora.
¿Generar en el navegador o en el servidor?
El generador crea clave y CSR con WebCrypto en tu navegador; no se transmite nada. Si la clave nunca debe existir fuera del servidor, usa el comando OpenSSL que se muestra o, en Windows, la plantilla certreq. La clave se queda entonces en el almacén de certificados del servidor.
Coincidencia: ¿van juntos clave y certificado?
Errores como «key values mismatch» (nginx, Apache), «The certificate's private key is missing» (IIS) o «private key does not match public key» casi siempre significan que el certificado pertenece a otra clave, a menudo a un CSR anterior. La herramienta calcula la huella de la clave pública de cada certificado, clave y CSR y muestra qué va junto. Las claves PKCS#8 cifradas se comprueban con su contraseña.
FAQ
¿Es seguro crear la clave en el navegador?
La clave se crea con WebCrypto, usando el generador aleatorio de tu sistema operativo, y nunca sale de tu navegador. Si quieres ser más estricto, usa el comando OpenSSL o certreq y crea la clave directamente en el servidor.
¿RSA o ECDSA?
ECDSA P-256 es más rápida e igual de segura que RSA 3072. Usa RSA 2048 si tienen que funcionar clientes o dispositivos muy antiguos (algunas impresoras, versiones viejas de Java).
Mi certificado no coincide con la clave. ¿Y ahora?
Mete el certificado, la clave y el CSR si lo tienes en la comprobación de coincidencia. Si pertenecen a claves distintas, el certificado se emitió para otro CSR. Busca la clave correcta o pide que vuelvan a emitir el certificado con un CSR nuevo, algo gratuito en la mayoría de las CA.
¿Cómo obtengo un archivo PFX para Windows?
Sube el certificado y la clave privada al conversor de certificados y elige PFX. La cadena se completa automáticamente.
¿Por qué la CA rechaza mi CSR?
Motivos habituales: nombres internos (.local, .interno) o IP privadas, una clave RSA de menos de 2048 bits, falta de lista SAN o una clave ya usada antes. La pestaña «Comprobar CSR» muestra estos puntos.