Aufbau: CertificationRequestInfo (Version, Subject, SubjectPublicKeyInfo und Attribute, meist ein extensionRequest mit subjectAltName und Key Usage) plus eine Signatur darüber mit dem privaten Schlüssel. PEM-Label: -----BEGIN CERTIFICATE REQUEST-----.
Was im Zertifikat landet, entscheidet die CA: Öffentliche CAs übernehmen den öffentlichen Schlüssel und die validierten Namen und ignorieren oder überschreiben die meisten anderen angeforderten Felder. ACME-Clients senden im Schritt finalize (RFC 8555 §7.4) einen CSR, dessen Namen exakt mit den Identifiern der Order übereinstimmen müssen. Ein CSR enthält keine Secrets, seine Erzeugung erfordert aber den privaten Schlüssel; deshalb sollte er dort erstellt werden, wo der Schlüssel später liegt.
Typische Befehle: openssl req -new -key key.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com". Der CSR-Decoder prüft die Signatur und zeigt die angeforderten Namen, und der CSR-Generator erstellt einen CSR lokal.