Generator für selbstsignierte Zertifikate

Diese Seite erzeugt ein Schlüsselpaar und signiert damit ein X.509-v3-Zertifikat, sodass das Zertifikat sein eigener Aussteller ist. Sie erhalten das Zertifikat als -----BEGIN CERTIFICATE----- und als rohes DER sowie den privaten Schlüssel als PKCS#8. Es ist das richtige Werkzeug für einen Entwicklungsserver, ein internes Gerät, ein Labor oder ein E-Mail-Gateway, das Sie auf beiden Seiten kontrollieren — und das falsche Werkzeug für alles, dem der Browser eines Fremden ohne Warnung vertrauen muss.
Ein selbstsigniertes Zertifikat wird von niemandem als vertrauenswürdig eingestuft. Kein öffentlicher Browser, kein Betriebssystem und kein Mail-Client akzeptiert es, bis Sie es auf jedem Rechner, der mit dem Dienst kommuniziert, als vertrauenswürdige Stammzertifizierungsstelle installieren. Wenn Sie ein Zertifikat brauchen, das ohne Installation funktioniert, beziehen Sie es von einer Zertifizierungsstelle — und wenn Sie nur eine Anfrage an eine CA benötigen, nutzen Sie stattdessen den CSR-Generator.
1. Schlüssel
RSA 2048 bit, signed with SHA-256.
2. Antragsteller und Aussteller
Der Aussteller wird als Kopie dieser Felder geschrieben, und genau das macht das Zertifikat selbstsigniert. Der allgemeine Name ist der Name, der in Zertifikatsdialogen angezeigt wird; der Client gleicht tatsächlich die unten stehenden alternativen Antragsnamen ab.
3. Alternative Antragsnamen
mindestens ein Eintrag ist erforderlich
Ein Eintrag pro Zeile, mit optionalem Präfix dns:, ip:, email: oder uri:; eine einzelne Zeile ist ein DNS-Name, sofern sie kein Adressliteral wie 127.0.0.1 ist, das als IP-Adresse gilt. Seit Browser den allgemeinen Namen nicht mehr prüfen, wird ein Zertifikat ohne mindestens einen alternativen Antragsnamen (Subject Alternative Name) glatt abgelehnt; diese Seite verlangt daher mindestens einen.
4. Gültigkeit und Erweiterungen
beginnt jetzt, endet in 365 Tagen
Alles von 1 bis 825 Tagen. Öffentlich vertrauenswürdige Zertifikate sind seit dem 15. März 2026 auf 200 Tage begrenzt (ab 2027 100 Tage, ab 2029 47 Tage). Ein selbstsigniertes Zertifikat fällt nicht unter diese Regel — es ist dennoch gute Praxis, es kurz zu halten, weil niemand es für Sie widerruft.
Lassen Sie den CA-Schalter für ein Server- oder Client-Zertifikat aus. Schalten Sie ihn ein, kann das Zertifikat andere Zertifikate signieren; so bauen Sie eine interne Hierarchie auf — und so geben Sie auch einen Schlüssel aus, der sich für alles ausgeben kann, dem Ihr Root vertraut. Verwenden Sie ihn daher nur für ein Root, das Sie bewusst offline halten.
Schlüsselverwendung — wofür dieser Schlüssel verwendet werden darf:
Erweiterte Schlüsselverwendung — die Zwecke, für die das Zertifikat ausgestellt ist:
5. Erzeugen
noch nichts erzeugt
Ergebnis
Noch nichts erzeugt. Füllen Sie einen allgemeinen Namen und mindestens einen alternativen Antragsnamen aus, drücken Sie Zertifikat und Schlüssel erzeugen, und das Zertifikat sowie der Schlüssel erscheinen hier mit Schaltflächen zum Speichern.
So fügen Sie es einem Vertrauensspeicher hinzu — jeder Rechner, der sich mit dem Dienst verbindet, braucht dies, bevor die Warnung verschwindet. Browser warnen bei der ersten Verwendung einer neuen Zertifizierungsstelle absichtlich; lesen Sie daher, wem Sie vertrauen, bevor Sie fortfahren.
Windows (für den gesamten Rechner) Öffnen Sie die Datei .crt, wählen Sie Zertifikat installieren, wählen Sie Lokaler Computer und dann Alle Zertifikate in folgendem Speicher speichern → Vertrauenswürdige Stammzertifizierungsstellen. In einer Eingabeaufforderung mit erhöhten Rechten lautet derselbe Vorgang certutil -addstore -f Root mycert.crt; certutil -delstore Root mycert.crt entfernt es wieder.
macOS Doppelklicken Sie auf die Datei, um sie dem Anmeldeschlüsselbund hinzuzufügen; öffnen Sie dann die Schlüsselbundverwaltung, ziehen Sie sie in System, doppelklicken Sie darauf, öffnen Sie Vertrauen und setzen Sie Bei Verwendung dieses Zertifikats auf Immer vertrauen. In der Kommandozeile: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Kopieren Sie es nach /usr/local/share/ca-certificates/mycert.crt (PEM; der Name muss auf .crt enden) und führen Sie dann sudo update-ca-certificates aus. Entfernt wird es, indem Sie die Datei löschen und denselben Befehl erneut ausführen.
RHEL, Fedora, CentOS Kopieren Sie es nach /etc/pki/ca-trust/source/anchors/mycert.crt und führen Sie sudo update-ca-trust aus.
Firefox Firefox führt einen eigenen Speicher: Einstellungen → Datenschutz & Sicherheit → Zertifikate → Zertifikate anzeigen → Zertifizierungsstellen → Importieren, dann das Kästchen Dieser CA vertrauen, um Websites zu identifizieren aktivieren.
Java-Anwendungen Importieren Sie es in den Vertrauensspeicher des JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Was die Erweiterungen bedeuten. Basiseinschränkungen legen fest, ob das Zertifikat andere Zertifikate signieren darf; Schlüsselverwendung beschränkt die Operationen, die der Schlüssel ausführen darf; erweiterte Schlüsselverwendung nennt die Zwecke, für die das Zertifikat ausgestellt ist. Ein TLS-Server-Zertifikat braucht den Zweck TLS-Server, sonst lehnen prüfende Clients es ab. Der Subject-Key-Identifier ist ein Hash des öffentlichen Schlüssels, und der Authority-Key-Identifier verweist normalerweise auf die Kopie des Ausstellers davon — bei einem selbstsignierten Zertifikat tragen beide denselben Wert.

Was diese Seite nicht tut: Sie erstellt keine Zertifikatshierarchie für Sie, betreibt keine CA und installiert nichts irgendwo. Hinter diesem Zertifikat steht keine Sperrliste: Wird der Schlüssel bekannt, bleibt nur, die Datei überall zu ersetzen und aus jedem Vertrauensspeicher zu entfernen.

Datenschutz: Das Schlüsselpaar wird mit der eigenen Kryptografie des Browsers erzeugt, und das Zertifikat wird hier signiert. Kein Upload, kein Server, keine Cookies, keine Analyse; die Seite funktioniert auch als lokale Datei. Um das Ergebnis unabhängig zurückzulesen, nutzen Sie den Zertifikats-Decoder.