Estrutura: CertificationRequestInfo (versão, titular, SubjectPublicKeyInfo e atributos, normalmente um extensionRequest com subjectAltName e Key Usage) mais uma assinatura dessa estrutura feita com a chave privada. Rótulo PEM: -----BEGIN CERTIFICATE REQUEST-----.
É a CA que decide o que entra no certificado: as CAs públicas aproveitam a chave pública e os nomes validados e ignoram ou substituem a maioria dos outros campos solicitados. Os clientes ACME enviam um CSR na etapa de finalização (RFC 8555 §7.4), e os nomes dele precisam corresponder exatamente aos identificadores do pedido. Um CSR não contém segredos, mas gerá-lo exige a chave privada, então convém criá-lo onde a chave vai ficar.
Comandos típicos: openssl req -new -key key.pem -subj "/CN=example.com" -addext "subjectAltName=DNS:example.com,DNS:www.example.com". O decodificador de CSR verifica a assinatura e mostra os nomes solicitados, e o gerador de CSR cria um localmente.