Générateur de certificat auto-signé

Cette page crée une paire de clés et signe avec elle un certificat X.509 v3, de sorte que le certificat est son propre émetteur. Vous obtenez le certificat sous la forme -----BEGIN CERTIFICATE----- et en DER brut, ainsi que la clé privée au format PKCS#8. C’est l’outil adapté à un serveur de développement, à un équipement interne, à un laboratoire ou à une passerelle de messagerie que vous contrôlez des deux côtés — et le mauvais outil pour tout ce qu’un navigateur inconnu doit approuver sans avertissement.
Un certificat auto-signé n’est approuvé par personne. Aucun navigateur public, système d’exploitation ni client de messagerie ne l’acceptera tant que vous ne l’aurez pas installé comme racine de confiance sur chaque machine qui communique avec le service. Si vous avez besoin d’un certificat qui fonctionne sans rien installer, obtenez-en un auprès d’une autorité de certification — et si vous n’avez besoin que d’une demande pour une AC, utilisez plutôt le générateur de CSR.
1. Clé
RSA 2048 bit, signed with SHA-256.
2. Sujet et émetteur
L’émetteur est écrit comme une copie de ces champs, ce qui fait du certificat un certificat auto-signé. Le nom courant est le nom affiché dans les boîtes de dialogue des certificats ; ce que le client vérifie réellement, ce sont les noms alternatifs du sujet ci-dessous.
3. Noms alternatifs du sujet
au moins une entrée est requise
Une entrée par ligne, avec un préfixe facultatif dns:, ip:, email: ou uri: ; une ligne sans préfixe est un nom DNS, sauf s’il s’agit d’une adresse littérale comme 127.0.0.1, qui est traitée comme une adresse IP. Depuis que les navigateurs ne regardent plus le nom courant, un certificat sans au moins un nom alternatif du sujet est rejeté d’office — cette page en exige donc au moins un.
4. Validité et extensions
débute maintenant, se termine dans 365 jours
De 1 à 825 jours. Les certificats publiquement approuvés sont limités à 200 jours depuis le 15 mars 2026 (100 jours à partir de 2027, 47 jours à partir de 2029), mais un certificat auto-signé n’est pas concerné par cette règle — il reste bon de le garder court, car rien ne le révoque à votre place.
Laissez le commutateur AC désactivé pour un certificat de serveur ou de client. L’activer permet au certificat de signer d’autres certificats, ce qui sert à construire une hiérarchie interne — et aussi à remettre une clé capable d’usurper tout ce que votre racine approuve. Gardez-le pour une racine que vous voulez volontairement garder hors ligne.
Usage de clé — ce à quoi cette clé peut servir :
Usage étendu de clé — les finalités pour lesquelles le certificat est émis :
5. Générer
rien n’a encore été généré
Résultat
Rien n’a encore été généré. Renseignez un nom courant et au moins un nom alternatif du sujet, cliquez sur Générer le certificat et la clé, et le certificat ainsi que la clé apparaîtront ici avec des boutons pour les enregistrer.
Comment l’ajouter à un magasin de confiance — chaque machine qui se connecte au service a besoin de cette étape avant que l’avertissement disparaisse. Les navigateurs avertissent dès la première utilisation d’une nouvelle autorité, par conception : lisez ce que vous approuvez avant de passer outre.
Windows (pour toute la machine) Ouvrez le fichier .crt, choisissez Installer le certificat, sélectionnez Ordinateur local, puis Placer tous les certificats dans le magasin suivant → Autorités de certification racines de confiance. Depuis une invite élevée, la même opération s’écrit certutil -addstore -f Root mycert.crt, et certutil -delstore Root mycert.crt le retire à nouveau.
macOS Double-cliquez sur le fichier pour l’ajouter au trousseau de session, puis ouvrez Trousseau d’accès, faites-le glisser dans Système, double-cliquez dessus, ouvrez Se fier et réglez Lors de l’utilisation de ce certificat sur Toujours approuver. En ligne de commande : sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Copiez-le vers /usr/local/share/ca-certificates/mycert.crt (PEM, et le nom doit se terminer par .crt), puis exécutez sudo update-ca-certificates. On le retire en supprimant le fichier et en relançant la même commande.
RHEL, Fedora, CentOS Copiez-le vers /etc/pki/ca-trust/source/anchors/mycert.crt et exécutez sudo update-ca-trust.
Firefox Firefox conserve son propre magasin : Paramètres → Vie privée et sécurité → Certificats → Afficher les certificats → Autorités → Importer, puis cochez Approuver cette AC pour identifier des sites web.
Applications Java Importez-le dans le magasin de confiance du JDK : keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Signification des extensions. Les contraintes de base indiquent si le certificat peut signer d’autres certificats ; l’usage de clé restreint les opérations que la clé peut effectuer ; l’usage étendu de clé nomme les finalités pour lesquelles le certificat est émis, et un certificat de serveur TLS doit porter la finalité serveur TLS, faute de quoi les clients qui la vérifient le refuseront. L’identifiant de clé du sujet est un hachage de la clé publique, et l’identifiant de clé de l’autorité désigne en général la copie que l’émetteur en a — sur un certificat auto-signé, les deux portent la même valeur.

Ce que cette page ne fait pas : elle ne crée pas de hiérarchie de certificats pour vous, n’exécute pas d’AC et n’installe rien nulle part. Il n’existe aucune liste de révocation derrière ce certificat : si la clé fuite, les seuls recours sont de remplacer le fichier partout et de le retirer de chaque magasin de confiance.

Confidentialité : la paire de clés est générée par la cryptographie du navigateur lui-même, et le certificat est signé ici. Aucun envoi, aucun serveur, aucun cookie, aucune statistique, et la page fonctionne à partir d’un fichier local. Pour relire le résultat indépendamment, utilisez le décodeur de certificats.