Structure : CertificationRequestInfo (version, sujet, SubjectPublicKeyInfo et attributs, généralement un extensionRequest qui transporte subjectAltName et l’utilisation de la clé), plus une signature de cet ensemble par la clé privée. Étiquette PEM : -----BEGIN CERTIFICATE REQUEST-----.
C’est l’AC qui décide de ce qui figure dans le certificat : les AC publiques reprennent la clé publique et les noms validés, et ignorent ou remplacent la plupart des autres champs demandés. Les clients ACME envoient une CSR lors de l’étape finalize (RFC 8555 §7.4), et ses noms doivent correspondre exactement aux identifiants de la commande (order). Une CSR ne contient aucun secret, mais sa génération exige la clé privée : il est donc recommandé de la créer là où la clé résidera.
Commandes typiques : openssl req -new -key key.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com". Le décodeur de CSR vérifie la signature et affiche les noms demandés, et le générateur de CSR en crée une localement.