Generatore di certificati autofirmati

Questa pagina crea una coppia di chiavi e firma con essa un certificato X.509 v3, così che il certificato sia il proprio emittente. Ottiene il certificato come -----BEGIN CERTIFICATE----- e in DER grezzo, più la chiave privata in PKCS#8. È lo strumento giusto per un server di sviluppo, un apparato interno, un laboratorio o un gateway di posta che lei controlla da entrambe le parti — ed è lo strumento sbagliato per qualsiasi cosa che il browser di uno sconosciuto debba fidarsi senza un avviso.
Un certificato autofirmato non è considerato attendibile da nulla. Nessun browser pubblico, sistema operativo o client di posta lo accetterà finché non lo installa come radice attendibile su ogni macchina che si collega al servizio. Se le serve un certificato che funzioni senza installare nulla, lo richieda a un'autorità di certificazione — e se le serve solo una richiesta da inviare a una CA, usi il generatore di CSR.
1. Chiave
RSA 2048 bit, signed with SHA-256.
2. Soggetto ed emittente
L'emittente viene scritto come copia di questi campi, ed è ciò che rende il certificato autofirmato. Il nome comune è il nome mostrato nelle finestre dei certificati; ciò che il client confronta davvero sono i nomi alternativi del soggetto qui sotto.
3. Nomi alternativi del soggetto
almeno una voce è obbligatoria
Una voce per riga, con un prefisso facoltativo dns:, ip:, email: o uri:; una riga semplice è un nome DNS, a meno che non sia un indirizzo letterale come 127.0.0.1, che viene preso come indirizzo IP. Da quando i browser non guardano più il nome comune, un certificato senza almeno un nome alternativo del soggetto viene respinto, quindi questa pagina ne richiede uno.
4. Validità ed estensioni
inizia ora, finisce tra 365 giorni
Da 1 a 825 giorni. I certificati pubblicamente attendibili sono limitati a 200 giorni dal 15 marzo 2026 (100 giorni dal 2027, 47 giorni dal 2029), ma un certificato autofirmato non rientra in quella regola — è comunque una buona abitudine tenerlo breve, perché nulla lo revoca per lei.
Lasci disattivato l'interruttore CA per un certificato di server o client. Attivarlo rende il certificato capace di firmare altri certificati, che è il modo di costruire una gerarchia interna — ma anche il modo di consegnare una chiave che può impersonare qualsiasi cosa la sua radice attendibile accetti, quindi lo riservi a una radice che tiene offline di proposito.
Uso della chiave — per cosa può essere usata questa chiave:
Uso esteso della chiave — gli scopi per cui il certificato viene emesso:
5. Genera
nulla ancora generato
Risultato
Nulla ancora generato. Compili un nome comune e almeno un nome alternativo del soggetto, prema Genera certificato e chiave, e il certificato e la chiave compariranno qui con i pulsanti per salvarli.
Come aggiungerlo a un archivio di fiducia — ogni macchina che si collega al servizio ha bisogno di questo prima che l'avviso scompaia. I browser avvisano alla prima visita di una nuova autorità per progetto, quindi legga che cosa sta approvando prima di continuare.
Windows (a livello di macchina) Apra il file .crt, scelga Installa certificato, selezioni Computer locale, poi Inserisci tutti i certificati nel seguente archivio → Autorità di certificazione radice attendibili. Da un prompt con privilegi elevati la stessa operazione è certutil -addstore -f Root mycert.crt, e certutil -delstore Root mycert.crt lo rimuove di nuovo.
macOS Faccia doppio clic sul file per aggiungerlo al portachiavi di accesso, poi apra Accesso Portachiavi, lo trascini in Sistema, faccia doppio clic su di esso, apra Fiducia e imposti Quando si usa questo certificato su Considera sempre attendibile. Da riga di comando: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Lo copi in /usr/local/share/ca-certificates/mycert.crt (PEM, e il nome deve terminare con .crt), poi esegua sudo update-ca-certificates. Si rimuove eliminando il file ed eseguendo di nuovo lo stesso comando.
RHEL, Fedora, CentOS Lo copi in /etc/pki/ca-trust/source/anchors/mycert.crt ed esegua sudo update-ca-trust.
Firefox Firefox mantiene un proprio archivio: Impostazioni → Privacy e sicurezza → Certificati → Visualizza certificati → Autorità → Importa, poi spunti Considera attendibile questa CA per identificare siti web.
Applicazioni Java Lo importi nell'archivio di fiducia del JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Che cosa significano le estensioni. I vincoli di base dicono se il certificato può firmare altri certificati; l'uso della chiave limita le operazioni che la chiave può eseguire; l'uso esteso della chiave indica gli scopi per cui il certificato viene emesso, e un certificato di server TLS richiede lo scopo server TLS o i client che lo controllano lo rifiuteranno. L'identificatore della chiave del soggetto è un hash della chiave pubblica, e l'identificatore della chiave dell'autorità di solito indica la copia che ne ha l'emittente — su un certificato autofirmato entrambi hanno lo stesso valore.

Che cosa non fa questa pagina: non crea una gerarchia di certificati per lei, non gestisce una CA e non installa nulla da nessuna parte. Dietro questo certificato non c'è alcuna lista di revoca: se la chiave viene divulgata, gli unici rimedi sono sostituire il file ovunque e rimuoverlo da ogni archivio di fiducia.

Privacy: la coppia di chiavi viene generata dalla crittografia del browser stesso e il certificato viene firmato qui. Nessun caricamento, nessun server, nessun cookie, nessuna analisi, e la pagina funziona da un file locale. Per rileggere il risultato in modo indipendente, usi il decodificatore di certificati.