Self-Signed tanúsítvány-generátor

Ez az oldal kulcspárt hoz létre, és ezzel X.509 v3 tanúsítványt ír alá, így a tanúsítvány kiállítója és tárgya azonos lesz. A tanúsítvány -----BEGIN CERTIFICATE----- formában és nyers DER-ként is megkapható, a privát kulcs pedig PKCS#8-ként. Fejlesztői szerverhez, belső eszközhöz, laboratóriumhoz vagy olyan levélátjáróhoz való, amelynek mindkét végét az üzemeltető irányítja — és nem alkalmas olyasmire, amit idegen böngészőnek figyelmeztetés nélkül meg kell bíznia.
Egy önaláírt tanúsítványt semmi nem bíz meg. Egyetlen nyilvános böngésző, operációs rendszer vagy levelezőkliens sem fogadja el, amíg minden olyan gépen, amely a szolgáltatással kommunikál, meg nem bízható gyökérként telepítik. Ha olyan tanúsítványra van szükség, amely telepítés nélkül működik, egy tanúsítványhatóságtól kell beszerezni; ha csak egy CA-nak szóló kérelemre van szükség, a CSR-generátor használandó.
1. Kulcs
RSA 2048 bit, signed with SHA-256.
2. Tárgy és kiállító
A kiállító e mezők másolataként íródik, ami miatt a tanúsítvány önaláírt lesz. A közös név a tanúsítványpárbeszédekben látható név; amit a kliens ténylegesen egyeztet, az az alábbi alternatív tárgynevek.
3. Alternatív tárgynevek
legalább egy bejegyzés kötelező
Soronként egy bejegyzés, opcionális dns:, ip:, email: vagy uri: előtaggal; a puszta sor DNS-név, kivéve ha címliterál, például 127.0.0.1, amely IP-címként értelmeződik. Mivel a böngészők már nem nézik a közös nevet, az alternatív tárgynév nélküli tanúsítvány egyenesen elutasításra kerül, ezért ez az oldal ragaszkodik legalább egyhez.
4. Érvényesség és kiterjesztések
most kezdődik, 365 nap múlva jár le
1 és 825 közötti napok. A nyilvánosan megbízható tanúsítványok 2026. március 15. óta 200 napra vannak korlátozva (2027-től 100, 2029-től 47 nap), de az önaláírt tanúsítványra ez a szabály nem vonatkozik — mindazonáltal jó gyakorlat rövidre tartani, mert nincs, ami visszavonja helyette.
Szerver- vagy kliens-tanúsítvány esetén a CA-kapcsoló kikapcsolandó. Bekapcsolása azt eredményezi, hogy a tanúsítvány más tanúsítványokat is aláírhat, ami belső hierarchia építésének módja — ugyanakkor olyan kulcs kiadását is lehetővé teszi, amely bármit megszemélyesíthet, amit a gyökér megbízhatónak tart; ezért egy szándékosan offline tartott gyökérhez érdemes megtartani.
Kulcshasználat — mire használható ez a kulcs:
Kiterjesztett kulcshasználat — azok a célok, amelyekre a tanúsítványt kiállították:
5. Generálás
még nincs semmi generálva
Eredmény
Még nincs generált elem. A közös név és legalább egy alternatív tárgynév kitöltendőt, a Tanúsítvány és kulcs generálása gombbal pedig a tanúsítvány és a kulcs itt jelenik meg, mentési gombokkal.
Hogyan adható hozzá megbízhatósági tárolóhoz — minden olyan gépnek, amely csatlakozik a szolgáltatáshoz, erre van szüksége, mielőtt a figyelmeztetés megszűnik. A böngészők szándékosan figyelmeztetnek egy új hitelesítő első használatakor, ezért érdemes megismerni a megbízás tartalmát, mielőtt továbblépnének.
Windows (gépszintű) A .crt fájl megnyitható, a Tanúsítvány telepítése lehetőség választható, a Helyi gép lehetőség kijelölhető, majd Minden tanúsítvány elhelyezése a következő tárolóban → Megbízható gyökértanúsító hatóságok. Emelt parancssorban ugyanez így végezhető: certutil -addstore -f Root mycert.crt, a certutil -delstore Root mycert.crt pedig újra eltávolítja.
macOS A fájlra duplán kattintva bekerül a bejelentkezési kulcstartóba, majd a Kulcstartó-hozzáférésben áthúzható a Rendszer alá, duplán kattintva megnyitható, a Megbízhatóság fül alatt pedig a Tanúsítvány használatakor értéke Mindig megbízik. Parancssorban: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu A /usr/local/share/ca-certificates/mycert.crt útvonalra (PEM, és a névnek .crt-re kell végződnie), majd futtatandó: sudo update-ca-certificates. Eltávolítása a fájl törlésével és ugyanezen parancs újrafuttatásával történik.
RHEL, Fedora, CentOS A /etc/pki/ca-trust/source/anchors/mycert.crt útvonalra másolandó, és futtatandó: sudo update-ca-trust.
Firefox A Firefox külön tárolót tart fenn: Beállítások → Adatvédelem & Biztonság → Tanúsítványok → Tanúsítványok megtekintése → Hatóságok → Importálás, majd bejelölhető: Megbízás ennek a CA-nak a webhelyek azonosításához.
Java-alkalmazások Importálandó a JDK megbízhatósági tárolójába: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Mit jelentenek a kiterjesztések. Az alapvető korlátozások megmondják, hogy a tanúsítvány aláírhat-e más tanúsítványokat; a kulcshasználat korlátozza azokat a műveleteket, amelyeket a kulcs végezhet; a kiterjesztett kulcshasználat megnevezi azokat a célokat, amelyekre a tanúsítványt kiállították, és a TLS-szerver-tanúsítványnak szüksége van a TLS-szerver célra, különben az azt ellenőrző kliensek elutasítják. A tárgykulcs-azonosító a nyilvános kulcs kivonata, az hatóságkulcs-azonosító általában a kiállító példányának neve megadandó — önaláírt tanúsítványon mindkettő ugyanazt az értéket hordozza.

Amit ez az oldal nem tesz: nem hoz létre tanúsítványhierarchiát, nem működtet CA-t, és sehova nem telepít semmit. A tanúsítvány mögött nincs visszavonási lista: ha a kulcs kiszivárog, az egyetlen orvosság a fájl cseréje mindenhol és eltávolítása minden megbízhatósági tárolóból.

Adatvédelem: a kulcspárt a böngésző saját kriptográfiája generálja, a tanúsítványt pedig itt írják alá. Nincs feltöltés, nincs szerver, nincs süti, nincs analitika, és az oldal helyi fájlból is működik. Az eredmény visszaolvasásához a tanúsítványdekódoló szolgál.