Generator for selvsignerede certifikater

Denne side opretter et nøglepar og signerer et X.509 v3-certifikat med det, så certifikatet er sin egen udsteder. Certifikatet fås som -----BEGIN CERTIFICATE----- og som rå DER, plus den private nøgle som PKCS#8. Det er det rigtige værktøj til en udviklingsserver, en intern enhed, et lab eller en mailgateway, som man kontrollerer i begge ender — og det forkerte værktøj til noget, en fremmed browser skal stole på uden en advarsel.
Et selvsigneret certifikat stoles ikke på af noget. Ingen offentlig browser, intet operativsystem og ingen mailklient accepterer det, før det er installeret som en betroet rod på hver maskine, der taler med tjenesten. Har man brug for et certifikat, der virker uden at installere noget, skal det fås fra en certifikatudsteder — og hvis man kun har brug for en anmodning til en CA, bruges i stedet CSR-generatoren.
1. Nøgle
RSA 2048 bit, signed with SHA-256.
2. Emne og udsteder
Udstederen skrives som en kopi af disse felter, og det er det, der gør certifikatet selvsigneret. Common name er navnet, der vises i certifikatdialoger; det, klienten faktisk matcher, er de alternative emnenavne nedenfor.
3. Alternative emnenavne
mindst én post er påkrævet
En post pr. linje, med et valgfrit præfiks dns:, ip:, email: eller uri:; en bar linje er et DNS-navn, medmindre det er en adresseliteral såsom 127.0.0.1, som tages som en IP-adresse. Siden browsere holdt op med at se på common name, afvises et certifikat uden mindst ét alternativt emnenavn direkte, så denne side kræver ét.
4. Gyldighed og udvidelser
starter nu, udløber om 365 dage
Alt fra 1 til 825 dage. Offentligt betroede certifikater er siden 15. marts 2026 begrænset til 200 dage (100 dage fra 2027, 47 dage fra 2029), men et selvsigneret certifikat er ikke omfattet af den regel — det er stadig en god vane at holde det kort, fordi intet tilbagekalder det automatisk.
Lad CA-kontakten være slukket for et server- eller klientcertifikat. Slår man den til, kan certifikatet signere andre certifikater, hvilket er sådan, man bygger en intern hierarki — og også sådan, man udleverer en nøgle, der kan udgive sig for alt, som roden stoler på, så behold den til en rod, man bevidst holder offline.
Key usage — hvad denne nøgle må bruges til:
Extended key usage — de formål, certifikatet er udstedt til:
5. Generér
intet genereret endnu
Resultat
Intet genereret endnu. Udfyld et common name og mindst ét alternativt emnenavn, tryk på Generér certifikat og nøgle, så vises certifikatet og nøglen her med knapper til at gemme dem.
Sådan føjes det til en tillidsbutik — hver maskine, der forbinder til tjenesten, har brug for dette, før advarslen forsvinder. Browsere advarer ved første brug af en ny myndighed med vilje, så læs, hvad man stoler på, før man klikker videre.
Windows (hele maskinen) Åbn .crt-filen, vælg Installér certifikat, vælg Lokal maskine, og derefter Placér alle certifikater i følgende butik → Trusted Root Certification Authorities. Fra en forhøjet prompt er det samme certutil -addstore -f Root mycert.crt, og certutil -delstore Root mycert.crt fjerner det igen.
macOS Dobbeltklik på filen for at tilføje den til login-nøglering, åbn derefter Nøgleringsadgang, træk den ind i System, dobbeltklik på den, åbn Tillid, og sæt Når dette certifikat bruges til Stol altid på. Fra kommandolinjen: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Kopiér den til /usr/local/share/ca-certificates/mycert.crt (PEM, og navnet skal ende på .crt), og kør derefter sudo update-ca-certificates. Den fjernes ved at slette filen og køre den samme kommando igen.
RHEL, Fedora, CentOS Kopiér den til /etc/pki/ca-trust/source/anchors/mycert.crt, og kør sudo update-ca-trust.
Firefox Firefox har sin egen butik: Indstillinger → Privatliv & sikkerhed → Certifikater → Vis certifikater → Myndigheder → Importér, og sæt derefter flueben i Stol på denne CA til at identificere websteder.
Java-programmer Importér den til JDK-tillidsbutikken: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Hvad udvidelserne betyder. Basic constraints siger, om certifikatet må signere andre certifikater; key usage begrænser de operationer, nøglen må udføre; extended key usage navngiver de formål, certifikatet er udstedt til, og et TLS-servercertifikat skal have formålet TLS server, ellers afviser klienter, der tjekker det, det. Subject key identifier er et hash af den offentlige nøgle, og authority key identifier navngiver normalt udstederens kopi af den — på et selvsigneret certifikat har begge den samme værdi.

Hvad denne side ikke gør: den opretter ikke en certifikathierarki for brugeren, kører ikke en CA og installerer ikke noget nogen steder. Der findes ingen tilbagekaldelsesliste bag dette certifikat: lækker nøglen, er de eneste løsninger at erstatte filen overalt og fjerne den fra hver tillidsbutik.

Privatliv: nøgleparret genereres af browserens egen kryptografi, og certifikatet signeres her. Ingen upload, ingen server, ingen cookies, ingen analyse, og siden virker fra en lokal fil. For at læse resultatet tilbage uafhængigt, brug certifikatafkoderen.