構造：CertificationRequestInfo（バージョン、サブジェクト、SubjectPublicKeyInfo、そして通常は subjectAltName と鍵用途を含む extensionRequest から成る属性）と、それに対する秘密鍵による署名です。PEM ラベル：-----BEGIN CERTIFICATE REQUEST-----。
証明書に何が記載されるかは CA が決めます。公的な CA は公開鍵と検証済みの名前を採用し、それ以外の要求されたフィールドのほとんどは無視するか上書きします。ACME クライアントは最終確定（finalize）の段階（RFC 8555 §7.4）で CSR を送信し、その名前はオーダーの識別子と完全に一致していなければなりません。CSR に秘密情報は含まれませんが、生成には秘密鍵が必要なため、鍵を保管する場所で作成すべきです。
典型的なコマンド：openssl req -new -key key.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com"。CSR デコーダーは署名を確認して要求された名前を表示し、CSR 生成ツールは CSR をローカルで作成します。