生成方法はアルゴリズムによって異なります。楕円曲線ではランダムなスカラーと 1 回の点の乗算（マイクロ秒単位）、Ed25519 や ML-DSA ではランダムなシード、RSA では 2 つの大きな素数の探索が必要です。RSA の場合、OpenSSL 3.6.5 を使った Apple M4 Max の 1 コアで、2048 ビットでは平均約 26 ミリ秒、4096 ビットでは約 250 ミリ秒かかり、所要時間には大きなばらつきがあります。いずれの方式でも暗号論的に安全な乱数生成器が必要で、それが弱いと、弱い鍵や重複した鍵が生成されます。
推奨される運用は次のとおりです。鍵はコピーせず、使う場所（HSM、Secure Enclave、サーバーの内部）で生成します。アルゴリズムと用途を鍵と一緒に記録します（JWK の alg と use、X.509 の鍵用途）。用途ごとに別の鍵ペアを使います（SP 800-57 Part 1 §5.2）。そして、最初から鍵のローテーションを計画しておきます。
証明書、CSR、JWK が特定の秘密鍵に対応しているかを確認するには、ファイル名ではなく公開鍵を比較します。鍵・証明書照合ツールなら、これをローカルで行えます。