Analizador de CSR

¿Por qué usar este analizador?

Valide lo que aparecerá en su certificado antes de enviarlo a una autoridad.
Detecte un SAN faltante, una clave demasiado corta, un algoritmo débil, una codificación IDN sospechosa.
Ahorre tiempo durante la incorporación o renovación leyendo inmediatamente los campos útiles.

¿Qué es un CSR?

Un Certificate Signing Request es un archivo de texto en formato PEM que contiene:

• su clave pública
• información de identidad del sujeto y SAN
• una firma hecha con su clave privada para demostrar posesión

El CSR se transmite a una AC—Let's Encrypt, DigiCert, GlobalSign…—que emite el certificado si la verificación pasa: DV, OV, EV.

¿Cuándo generar un CSR?

• Creación o renovación de un certificado TLS para servidor web, API, MTA
• Adición de un nuevo subdominio SAN, nuevo FQDN
• Cambio de RSA a EC para mejor rendimiento
• Normalización de una infraestructura heterogénea donde los campos son inconsistentes

¿Qué debe contener un buen CSR?

• Subject CN a veces ignorado por las AC modernas, consérvelo pero no confíe solo en él
• SAN Subject Alternative Name la lista de todos los nombres cubiertos, incluido el dominio desnudo si es necesario
• Public Key tipo RSA 2048 mín, ideal 3072 o EC P-256/P-384
• Signature SHA-256 recomendado
• Key Usage y Extended Key Usage opcionales según sus necesidades

Recordatorio
Sin SAN, muchas AC rechazan. Un CN solo ya no es suficiente.

Instrucciones

1. Pegue el CSR completo entre -----BEGIN CERTIFICATE REQUEST----- y -----END CERTIFICATE REQUEST-----.
2. Haga clic en Analizar CSR.
3. Lea el resumen: sujeto, SAN, tipo y tamaño de clave, algoritmo, huellas digitales.
4. Corrija y regenere si algo bloquea.

Ejemplos útiles de OpenSSL

CSR RSA 3072 con SAN

# san.cnf
[ req ]
prompt = no
distinguished_name = dn
req_extensions = v3_req
[ dn ]
CN = www.ejemplo.com
[ v3_req ]
subjectAltName = @alt
[ alt ]
DNS.1 = www.ejemplo.com
DNS.2 = ejemplo.com

openssl req -new -newkey rsa:3072 -nodes -keyout site.key -out site.csr -config san.cnf

CSR EC P-256 con SAN

openssl ecparam -name prime256v1 -genkey -noout -out site.key
openssl req -new -key site.key -out site.csr -config san.cnf

IDN

Use punycode xn--… en los SAN para evitar sorpresas.

Solución de problemas y errores comunes

• SAN faltantes el certificado cubrirá menos nombres de lo esperado
• RSA 1024 o SHA-1 rechazo probable
• Clave privada expuesta nunca pegue la clave privada aquí ni en un ticket
• Selectores de campo extravagantes O, OU, L, ST, C inútiles en DV y fuentes de inconsistencia en OV/EV
• IDN mal codificado use punycode exacto
• Wildcard *.ejemplo.com agregue también ejemplo.com si desea cubrir el dominio desnudo

Buenas prácticas

• Genere el par de claves del lado del servidor y mantenga la clave privada fuera de cualquier compartición
• Prefiera EC P-256/P-384 o RSA ≥ 3072 para nuevas implementaciones
• Limite la lista de SAN a lo que realmente es útil
• Mantenga un registro: fecha, sujeto, SAN, tamaño de clave, persona de origen
• Pruebe la lectura del CSR después de la generación para evitar un viaje de ida y vuelta con la AC

Compromiso de privacidad

Su CSR se envía a la API de CaptainDNS solo para ser decodificado y mostrado.
El contenido no se conserva. Ningún campo se registra en texto claro.
Solo se registran métricas técnicas anónimas: tiempo de procesamiento, tamaño, tipo de clave y algoritmo para el monitoreo de disponibilidad.