¿La CSR y la clave pública son exactamente lo mismo?

No, no son lo mismo. Una clave pública es en realidad un miembro de un "par de claves", que consta de una clave pública y la clave privada correspondiente. El CSR es una solicitud de firma de certificado, que es solo un formulario que usted completa.

Al crear una CSR, adjunte su clave pública a la misma y complete otros datos necesarios; a continuación, lo envía a una autoridad de certificación (CA). La CA toma los datos de su formulario, y si pasa todas sus pruebas de validación (es decir, se le cobra a su tarjeta de crédito), usan los datos de su CSR para crear un certificado y luego firman su nuevo certificado con su "raíz" certificado. Esto le da al resto del mundo la seguridad de que la clave pública que se encuentra en el certificado está realmente asociada con usted.

Normalmente, nadie más que la CA necesita una CSR.

En su caso, parece que está atrapado en medio del proceso de otra persona que no se ha descrito adecuadamente. Si esta "generación de claves de respaldo HPKP" (sea lo que sea) está creando un par de claves pública / privada, es posible que soliciten un CSR "en blanco" para usar como plantilla para solicitar un nuevo certificado cada vez que generan una nueva clave de respaldo . (Realmente, probablemente solo necesiten los campos de datos que desea en los certificados). Pero esa CSR siempre está incompleta porque las claves públicas aún no se han generado.

Probablemente deba sentarse con las personas certificadas y las personas HPKP, y averiguar quién realmente necesita qué.