Generátor self-signed certifikátů

Tato stránka vytvoří pár klíčů a podepíše jím certifikát X.509 v3, takže certifikát je svým vlastním vydavatelem. Certifikát dostanete jako -----BEGIN CERTIFICATE----- a jako surový DER, soukromý klíč jako PKCS#8. Je to správný nástroj pro vývojový server, interní zařízení, laboratoř nebo poštovní bránu, kterou ovládáte na obou koncích — a špatný pro cokoli, čemu musí cizí prohlížeč důvěřovat bez varování.
Self-signed certifikátu nikdo nedůvěřuje. Žádný veřejný prohlížeč, operační systém ani poštovní klient ho nepřijme, dokud ho nenainstalujete jako důvěryhodný kořen na každém počítači, který se službou komunikuje. Pokud potřebujete certifikát, který funguje bez instalace čehokoli, získejte ho u certifikační autority — a pokud potřebujete jen žádost pro CA, použijte místo toho generátor CSR.
1. Klíč
RSA 2048 bit, signed with SHA-256.
2. Subjekt a vydavatel
Vydavatel je zapsán jako kopie těchto polí, a právě to z certifikátu dělá self-signed. Běžné jméno je název zobrazený v dialozích certifikátů; klient ve skutečnosti porovnává alternativní názvy subjektu uvedené níže.
3. Alternativní názvy subjektu
je vyžadován alespoň jeden záznam
Jeden záznam na řádek, s volitelnou předponou dns:, ip:, email: nebo uri:; řádek bez předpony je DNS název, pokud nejde o adresu jako 127.0.0.1, která se bere jako IP adresa. Protože prohlížeče již nekontrolují běžné jméno, certifikát bez alespoň jednoho alternativního názvu subjektu je rovnou odmítnut, a proto tato stránka jeden vyžaduje.
4. Platnost a rozšíření
platí od teď, končí za 365 dní
Cokoli od 1 do 825 dnů. Veřejně důvěryhodné certifikáty jsou od 15. března 2026 omezeny na 200 dnů (od roku 2027 na 100 dnů, od roku 2029 na 47 dnů), ale self-signed certifikát na toto pravidlo nedopadá — i tak je dobré držet platnost krátkou, protože ho nic za vás neodvolá.
Pro serverový nebo klientský certifikát nechte přepínač CA vypnutý. Zapnutím umožníte certifikátu podepisovat jiné certifikáty, což je způsob, jak vytvořit interní hierarchii — ale také způsob, jak vydat klíč, který se může vydávat za cokoli, čemu váš kořen důvěřuje. Nechte jej proto pro kořen, který záměrně držíte offline.
Použití klíče — k čemu smí být klíč použit:
Rozšířené použití klíče — účely, pro které je certifikát vydán:
5. Vygenerovat
zatím nic nevygenerováno
Výsledek
Zatím nic nevygenerováno. Vyplňte běžné jméno a alespoň jeden alternativní název subjektu, stiskněte Vygenerovat certifikát a klíč a certifikát i klíč se zobrazí zde s tlačítky pro uložení.
Jak ho přidat do úložiště důvěryhodných certifikátů — každý počítač, který se k službě připojuje, to potřebuje dříve, než varování zmizí. Prohlížeče podle návrhu varují při prvním použití nové certifikační autority, takže si před potvrzením přečtěte, čemu důvěřujete.
Windows (pro celý počítač) Otevřete soubor .crt, zvolte Nainstalovat certifikát, vyberte Místní počítač a poté Umístit všechny certifikáty do následujícího úložiště → Důvěryhodné kořenové certifikační autority. Z příkazového řádku spuštěného jako správce je to certutil -addstore -f Root mycert.crt; odebere se příkazem certutil -delstore Root mycert.crt.
macOS Dvojklikem na soubor ho přidáte do klíčenky přihlášení; pak v aplikaci Přístup ke klíčence certifikát přetáhněte do Systém, dvakrát na něj klikněte, otevřete Důvěra a u Při používání tohoto certifikátu nastavte Vždy důvěřovat. Z příkazové řádky: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Zkopírujte ho do /usr/local/share/ca-certificates/mycert.crt (PEM, název musí končit na .crt) a spusťte sudo update-ca-certificates. Odstraníte ho smazáním souboru a opětovným spuštěním stejného příkazu.
RHEL, Fedora, CentOS Zkopírujte ho do /etc/pki/ca-trust/source/anchors/mycert.crt a spusťte sudo update-ca-trust.
Firefox Firefox má vlastní úložiště: Nastavení → Soukromí a zabezpečení → Certifikáty → Zobrazit certifikáty → Autority → Importovat, pak zaškrtněte Důvěřovat této CA při identifikaci webových stránek.
Java aplikace Importujte ho do úložiště JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Co rozšíření znamenají. Základní omezení říkají, zda certifikát smí podepisovat jiné certifikáty; použití klíče omezuje operace, které smí klíč provádět; rozšířené použití klíče uvádí účely, pro které je certifikát vydán, a certifikát TLS serveru potřebuje účel TLS server, jinak ho klienti, kteří to kontrolují, odmítnou. Identifikátor klíče subjektu je hash veřejného klíče a identifikátor klíče vydavatele obvykle odkazuje na jeho kopii u vydavatele — u self-signed certifikátu nesou obě stejnou hodnotu.

Co tato stránka nedělá: nevytváří za vás hierarchii certifikátů, neprovozuje CA a nic nikam neinstaluje. Za tímto certifikátem není žádný seznam odvolaných certifikátů: pokud klíč unikne, jediným řešením je nahradit soubor všude a odebrat ho ze všech úložišť důvěryhodných certifikátů.

Soukromí: pár klíčů vytváří kryptografie vlastní prohlížeče a certifikát se podepisuje zde. Žádné nahrávání, žádný server, žádné cookies, žádná analytika, a stránka funguje i z lokálního souboru. Výsledek nezávisle přečtete pomocí dekodéru certifikátů.