Ein Certificate Signing Request (CSR) ist eine signierte Datenstruktur, mit der ein Antragsteller eine CA um die Ausstellung eines X.509-Zertifikats bittet. Der CSR enthält den öffentlichen Schlüssel, gewünschte Identitätsangaben (z. B. Common Name, SANs, Organisation) und ist mit dem zugehörigen privaten Schlüssel signiert – als Beweis, dass der Antragsteller über diesen verfügt.
Das Format eines CSR ist in PKCS #10 (RFC 2986) definiert und wird üblicherweise im Base64-codierten PEM-Format zwischen "-----BEGIN CERTIFICATE REQUEST-----" und "-----END CERTIFICATE REQUEST-----" übergeben. Erstellt werden CSRs typischerweise mit Tools wie openssl, certreq oder durch Bibliotheken in Programmiersprachen.
Einsatzzweck ist die saubere Trennung von Schlüsselbesitz und Zertifizierung. Der private Schlüssel verlässt nie den Antragsteller; an die CA gehen nur der öffentliche Schlüssel und die zu beglaubigenden Identitätsdaten. So bleibt das Schlüsselmaterial unter alleiniger Kontrolle des Subjekts.
PKCS #10 wurde Anfang der 1990er Jahre von RSA Data Security entwickelt und 1998 als RFC 2314 zum öffentlichen Standard. Spätere Versionen sind in RFC 2986 (2000) festgehalten. Heute ist der CSR ein Bestandteil so unterschiedlicher Welten wie Webserver-Setup, ACME-Protokoll, Code-Signing-Workflows und IoT-Onboarding-Prozesse.
In modernen, automatisierten Umgebungen wird der CSR häufig nicht mehr manuell erstellt: ACME-Clients, Service Meshes oder PKI-as-a-Service-Plattformen generieren CSRs automatisch im Hintergrund.