Certificates delivered without surrendering your private key.
Certificados entregados sin ceder tu clave privada.
Generate the key in your HSM, KMS or device, submit only a PKCS#10 CSR, and let QuDeploy govern identity, policy, issuance, delivery, evidence and revocation.
Genera la clave en tu HSM, KMS o dispositivo, envía únicamente un CSR PKCS#10 y permite que QuDeploy gobierne identidad, política, emisión, entrega, evidencia y revocación.
QuIdentify must bind the user, organization, tenant and authorized role. Browser-only identity flags never authorize server-side issuance.
QuIdentify debe vincular usuario, organización, tenant y rol autorizado. Las señales del navegador nunca autorizan por sí solas la emisión en servidor.
QuIdentify authentication is required before a CSR can be transmitted.
La autenticación QuIdentify es obligatoria antes de transmitir un CSR.
Generate the key where it will live.
Genera la clave donde permanecerá.
QuPKIaaS does not need the private key. Use a non-exportable HSM/KMS key where supported, or an approved endpoint keystore.
QuPKIaaS no necesita la clave privada. Usa una clave HSM/KMS no exportable cuando sea compatible, o un almacén aprobado del endpoint.
RecommendedRecomendadoHSM / KMS
Non-exportable key, governed operator roles and audit trail.
Clave no exportable, roles gobernados y trazabilidad.
EnterprisePKCS#11 / TPM
On-premise or endpoint-backed key with customer custody.
Clave on-premise o de endpoint bajo custodia del cliente.
DevelopmentLocal keystore
Allowed only by an approved profile; never paste the private key here.
Solo con un perfil aprobado; nunca pegues aquí la clave privada.
Output required for the next step: a PEM PKCS#10 certificate signing request. Keep the private key outside the portal.
Resultado requerido para el siguiente paso: una solicitud de firma PKCS#10 en PEM. Conserva la clave privada fuera del portal.
Inspect the CSR before transmission.
Inspecciona el CSR antes de transmitirlo.
The browser validates framing and size and calculates SHA-256. The server must independently parse the PKCS#10 signature, subject, extensions and approved algorithm profile.
El navegador valida formato y tamaño y calcula SHA-256. El servidor debe analizar de forma independiente la firma PKCS#10, el sujeto, las extensiones y el perfil criptográfico aprobado.
No CSR inspected.
Issuance is governed, not instantaneous by default.
La emisión es gobernada; no es instantánea por defecto.
QuDeploy correlates QuIdentify, QuFense policy, QuCFA authorization, QuHub provider routing and QuAudit evidence. Any missing gate blocks the transaction.
QuDeploy correlaciona QuIdentify, política QuFense, autorización QuCFA, enrutamiento QuHub y evidencia QuAudit. Cualquier compuerta faltante bloquea la transacción.
Policy evaluationTenant, profile, budget and production approval
3
Provider issuanceAWS Private CA adapter through isolated QuPKIaaS motor
4
Evidence receiptQuAudit receipt before delivery
No signed issuance receipt received.
Deliver public material and evidence.
Entrega material público y evidencia.
The portal and API deliver only the issued certificate, chain and evidence manifest. Installation binds that certificate to the customer-held private key.
El portal y la API entregan únicamente el certificado emitido, la cadena y el manifiesto de evidencia. La instalación vincula ese certificado con la clave privada custodiada por el cliente.
Certificate download unlocks only after state ISSUED.
Parallel API workflowFlujo API paralelo
POST /v1/certificates/requests
GET /v1/certificates/requests/{requestId}
GET /v1/certificates/requests/{requestId}/certificate
POST /v1/certificates/requests/{requestId}/revoke
Authentication: QuIdentify OIDC session / OAuth 2.0 access token
Authorization: tenant + role + certificate profile
Transport: TLS 1.3 externally; mTLS internally
Idempotency: Idempotency-Key required for mutations
Private key: never accepted, never returned
Revocation: CRL + OCSP publication required