Problema ao gerar certificado sha256

[Tiago Martins]

Bom Dia,

Estou a tentar gerar o certificado conforme as normas da AT, utilizei o openssl 1.1.1 com o seguinte comando:
openssl req -new -sha256 -subj "/C=xx/ST=xx/L=xx/O=xx SA/OU=IT/CN=xx/emailAddress=x@x.com" -newkey rsa:2048 -nodes -out xxxxxxxxx.csr -keyout xxxxxxxxx.key

Mesmo assim a AT diz não estar conforme, indicamdo:
"Agradecemos o seu email, e esclarecemos que o Certificado Digital SSL. não foi emitido, por o mesmo não se encontrar conforme instruções colocadas no Portal das Finanças, devendo ser gerado com base no algoritmo RSA com comprimento de 4096 bits. A assinatura do pedido de certificado deverá utilizar o algoritmo SHA-256, assegurando a integridade e autenticidade do processo."

Se tentar gerar com 4096 bits, com o comando baixo, ao tenar gerar o pedido no site obtenho erro: "A chave pública enviada no CSR tem que ser uma chave RSA de 2048 bits: no CSR indicou RSA de 4096 bits.". Então é 20248 bits ou 4096 bits?
openssl req -new -sha256 -subj "/C=xx/ST=xx/L=xx/O=xx SA/OU=IT/CN=xx/emailAddress=x@x.com" -newkey rsa:2048 -nodes -out xxxxxxxxx.csr -keyout xxxxxxxxx.key

Alguém pode indicar com gerar uma chave válida?

[Rui Carlos]

Os dois comandos parecem idênticos.  Tanto quanto sei, é necessário 4096 bits.

Foi partilhado aqui um comando.