Generador de certificados autofirmados

Esta página crea un par de claves y firma con él un certificado X.509 v3, de modo que el certificado es su propio emisor. Obtiene el certificado como -----BEGIN CERTIFICATE----- y en DER sin procesar, además de la clave privada en PKCS#8. Es la herramienta adecuada para un servidor de desarrollo, un equipo interno, un laboratorio o una pasarela de correo que controla en ambos extremos — y la herramienta equivocada para cualquier cosa que el navegador de un desconocido tenga que confiar sin advertencia.
Un certificado autofirmado no es de confianza para nada. Ningún navegador público, sistema operativo o cliente de correo lo aceptará hasta que lo instale como raíz de confianza en cada equipo que se conecte al servicio. Si necesita un certificado que funcione sin instalar nada, obténgalo de una autoridad de certificación — y si solo necesita una petición para una CA, use en su lugar el generador de CSR.
1. Clave
RSA 2048 bit, signed with SHA-256.
2. Sujeto y emisor
El emisor se escribe como una copia de estos campos, que es lo que hace que el certificado sea autofirmado. El nombre común es el nombre que se muestra en los cuadros de diálogo de certificados; lo que el cliente compara realmente son los nombres alternativos del sujeto de abajo.
3. Nombres alternativos del sujeto
se requiere al menos una entrada
Una entrada por línea, con un prefijo opcional dns:, ip:, email: o uri:; una línea sin prefijo es un nombre DNS, salvo que sea un literal de dirección como 127.0.0.1, que se toma como dirección IP. Como los navegadores dejaron de mirar el nombre común, un certificado sin al menos un nombre alternativo del sujeto se rechaza directamente, así que esta página exige uno.
4. Validez y extensiones
empieza ahora, termina dentro de 365 días
Cualquier valor de 1 a 825 días. Los certificados de confianza pública están limitados a 200 días desde el 15 de marzo de 2026 (100 días desde 2027, 47 días desde 2029), pero un certificado autofirmado no está cubierto por esa regla — aun así conviene mantenerlo corto, porque nada lo revoca por usted.
Deje desactivado el interruptor de CA para un certificado de servidor o de cliente. Activarlo permite que el certificado firme otros certificados, que es como se construye una jerarquía interna — y también la forma de entregar una clave que puede suplantar a cualquier cosa en la que confíe su raíz, así que resérvelo para una raíz que deliberadamente mantenga sin conexión.
Uso de la clave — para qué puede usarse esta clave:
Uso extendido de la clave — los fines para los que se emite el certificado:
5. Generar
todavía no se ha generado nada
Resultado
Todavía no se ha generado nada. Rellene un nombre común y al menos un nombre alternativo del sujeto, pulse Generar certificado y clave, y el certificado y la clave aparecerán aquí con botones para guardarlos.
Cómo añadirlo a un almacén de confianza — cada equipo que se conecte al servicio necesita esto antes de que desaparezca la advertencia. Los navegadores avisan en el primer uso de una autoridad nueva por diseño, así que lea lo que está confiando antes de aceptar.
Windows (todo el equipo) Abra el archivo .crt, elija Instalar certificado, seleccione Equipo local y luego Colocar todos los certificados en el siguiente almacén → Entidades de certificación raíz de confianza. Desde un símbolo del sistema con permisos elevados, lo mismo es certutil -addstore -f Root mycert.crt, y certutil -delstore Root mycert.crt lo elimina de nuevo.
macOS Haga doble clic en el archivo para añadirlo al llavero de inicio de sesión, abra Acceso a Llaveros, arrástrelo a Sistema, haga doble clic en él, abra Confiar y ponga Al usar este certificado en Confiar siempre. En la línea de comandos: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Cópielo a /usr/local/share/ca-certificates/mycert.crt (PEM, y el nombre debe terminar en .crt) y ejecute después sudo update-ca-certificates. Se elimina borrando el archivo y ejecutando de nuevo el mismo comando.
RHEL, Fedora, CentOS Cópielo a /etc/pki/ca-trust/source/anchors/mycert.crt y ejecute sudo update-ca-trust.
Firefox Firefox mantiene su propio almacén: Configuración → Privacidad y seguridad → Certificados → Ver certificados → Autoridades → Importar, y marque después Confiar en esta CA para identificar sitios web.
Aplicaciones Java Impórtelo al almacén de confianza del JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Qué significan las extensiones. Las restricciones básicas indican si el certificado puede firmar otros certificados; el uso de la clave restringe las operaciones que la clave puede realizar; el uso extendido de la clave nombra los fines para los que se emite el certificado, y un certificado de servidor TLS necesita el fin servidor TLS o los clientes que lo comprueben lo rechazarán. El identificador de clave del sujeto es un hash de la clave pública, y el identificador de clave de la autoridad normalmente nombra la copia del emisor — en un certificado autofirmado ambos tienen el mismo valor.

Lo que esta página no hace: no crea una jerarquía de certificados por usted, no ejecuta una CA y no instala nada en ninguna parte. No hay ninguna lista de revocación detrás de este certificado: si la clave se filtra, los únicos remedios son reemplazar el archivo en todas partes y quitarlo de todos los almacenes de confianza.

Privacidad: el par de claves lo genera la propia criptografía del navegador y el certificado se firma aquí. Sin subidas, sin servidor, sin cookies, sin analítica, y la página funciona desde un archivo local. Para leer el resultado de forma independiente, use el decodificador de certificados.