Generador de CSR
CSR Generator
Genera una solicitud de firma de certificado y su clave privada a partir de los campos del sujeto y las entradas SAN.
Genera un par de claves y una solicitud de firma de certificado PKCS#10 en tu navegador. La clave privada la crea WebCrypto en esta pestaña y nunca se envía a ningún sitio — que es el único arreglo aceptable, porque un generador de CSR que ve tu clave privada es una autoridad certificadora que no elegiste.
El par de claves lo genera WebCrypto en tu navegador y la clave privada no sale de esta pestaña. No se envía nada a ningún servidor.
El dominio principal. Las autoridades de certificación emiten en realidad según la lista SAN de abajo.
Los nombres con caracteres fuera de ASCII no dan problema: se codifican como UTF8String.
Dos letras, ISO 3166.
Separados por saltos de línea o comas. Dominios, comodines, direcciones IP, correos. Pon todos los nombres para los que el certificado tenga que valer.
Cómo se usa
Rellena el sujeto
CN es el dominio principal; O, OU, L, ST y C son campos organizativos que una CA pública ignora en su mayoría para un certificado validado por dominio. Los nombres de organización con caracteres no ASCII están bien: se codifican como UTF8String.
Lista cada nombre en el campo SAN
Esta es la parte que importa. Los navegadores ignoran el CN por completo y leen solo la lista SAN (RFC 6125 §6.4.4), así que cada nombre de host que el certificado debe cubrir va aquí: ápice, www, comodines, direcciones IP.
Elige el tipo de clave
RSA 2048 es la más compatible, RSA 3072 es el nivel recomendado más allá de 2030, y EC P-256 da una clave más corta y un apretón de manos más rápido con soporte en todo lo actual.
Guarda la clave privada antes de irte
Existe solo en esta pestaña. Descárgala, ponla en el servidor y mantén el archivo legible por nada más: la CSR sola es inútil sin ella.
Preguntas frecuentes
¿La clave privada se queda aquí de verdad?
Sí. WebCrypto genera el par en la pestaña y no hay ninguna petición que se lo lleve. Cierra la pestaña antes de descargar y desaparece — que es la misma propiedad que la hace segura.
El CN está relleno pero la CA rechazó la solicitud
Revisa la lista SAN. La mayoría de las CA ahora exigen cada nombre ahí y tratan una solicitud solo con CN como si no nombrara nada. Dejar activado «incluir el CN en la lista SAN» es casi siempre lo correcto.
¿Puedo usar esto para un certificado comodín?
Sí: pon *.example.com en la lista SAN. Ten en cuenta que cubre un solo nivel: *.example.com coincide con www.example.com y no con a.b.example.com, y no coincide con example.com en sí, así que lista ese por separado.
¿Por qué hay también un comando openssl?
Para que puedas contrastar este resultado, o hacer la misma solicitud en el servidor. La línea de verificación — openssl req -in server.csr -noout -text -verify — lee de vuelta exactamente lo que hay en el archivo que descargaste.
Puede recibir de
Generador de pares de claves
Key Pair Generator
Genera pares de claves RSA, ECDSA o Ed25519 y los exporta en PEM, JWK o OpenSSH.
Decodificador de certificados
Certificate Decoder
Analiza un certificado o CSR en PEM o DER y muestra el sujeto, los SAN, la validez, el uso de clave y las pistas de cadena.
Comprobador de certificados SSL
SSL Certificate Checker
Se conecta a un servidor, muestra la cadena que entrega, la caducidad, el protocolo y los cifrados admitidos, y señala los eslabones que faltan.
Inspector de almacenes de claves
Keystore Inspector
Abre paquetes PKCS#12, JKS o PEM y enumera los certificados, las cadenas y los algoritmos de clave que contienen.
Después
Estas aceptan lo que produce esta herramienta, así que el resultado puede pasar directamente.
Decodificador de certificados
Certificate Decoder
Analiza un certificado o CSR en PEM o DER y muestra el sujeto, los SAN, la validez, el uso de clave y las pistas de cadena.
Generador de pares de claves
Key Pair Generator
Genera pares de claves RSA, ECDSA o Ed25519 y los exporta en PEM, JWK o OpenSSH.
Comprobador de certificados SSL
SSL Certificate Checker
Se conecta a un servidor, muestra la cadena que entrega, la caducidad, el protocolo y los cifrados admitidos, y señala los eslabones que faltan.
Consulta de registros DNS
DNS Lookup
Consulta registros A, AAAA, CNAME, MX, TXT, NS, SOA, SRV, CAA y PTR por DoH contra Cloudflare o Google, mostrando el TTL y el bit DNSSEC.
Constructor de peticiones HTTP
HTTP Request Builder
Compone y envía una petición GET, POST, PUT, PATCH, DELETE o HEAD con cabeceras y cuerpo propios, y muestra el estado, las cabeceras, el cuerpo y el tiempo, sin reenviar nunca Cookie ni Authorization.
Inspector de cabeceras HTTP
HTTP Header Inspector
Pide una URL y muestra las cabeceras de respuesta completas, la cadena de redirecciones, los tiempos y la compresión usada.