Generador de CSR — solicitud de firma y clave privada

Porque los navegadores no leen el Common Name desde 2017. Chrome quitó ese recurso en la versión 58 y los demás siguieron, así que un certificado cuyo dominio solo aparece en el CN no coincide con ningún nombre de host. Algunas CA copian el CN al SAN al emitir sin decirlo; muchas rechazan la solicitud sin más. Ponerlo en ambos sitios elimina la duda.

Solo para certificados con validación de organización (OV) y validación extendida (EV), donde la CA los coteja con su registro legal y rechaza cualquier discrepancia. Para un certificado corriente con validación de dominio —lo que incluye todo lo de Let's Encrypt— se ignoran, y dejarlos vacíos está bien.

Para un servidor web, normalmente no. Una clave cifrada hay que desbloquearla en cada arranque, así que el servidor no puede volver a levantarse sin supervisión tras un reinicio; por eso nginx y Apache casi siempre se configuran con una clave sin cifrar protegida por permisos de archivo. Cífrela si va a moverla entre máquinas o guardarla en un sitio compartido.

Sí: escriba *.example.com. Tenga en cuenta que un comodín cubre exactamente una etiqueta, así que *.example.com coincide con www.example.com pero ni con example.com ni con a.b.example.com. Si también necesita el dominio desnudo, añádalo aparte. Las CA públicas validan además los comodines por DNS y no por HTTP, así que la emisión requiere acceso a sus registros DNS.

ECDSA P-256 ofrece aproximadamente la seguridad de RSA 3072 con una clave mucho más pequeña, lo que significa negociaciones más rápidas y menos CPU por conexión. RSA 2048 lo admite absolutamente todo, incluidos equipos antiguos y algunos terminales de pago. Si controla los clientes, ECDSA; si no sabe qué se va a conectar, RSA.