自己署名証明書ジェネレーター

このページは鍵ペアを作り、それで X.509 v3 証明書に署名するため、証明書の発行者はそれ自身になります。証明書は -----BEGIN CERTIFICATE----- 形式と生の DER で、秘密鍵は PKCS#8 で入手できます。開発サーバー、内部アプライアンス、ラボ、両端を自分が管理するメールゲートウェイには適切なツールであり、見知らぬ人のブラウザーが警告なしに信頼しなければならないものには不適切なツールです。
自己署名証明書は何からも信頼されません。公開のブラウザー、オペレーティングシステム、メールクライアントは、サービスと通信するすべてのマシンに信頼されたルートとしてインストールするまで、これを受け入れません。何もインストールしなくても動く証明書が必要なら、認証局から取得してください。CA への要求だけが必要なら、代わりにCSR 生成を使用してください。
1. 鍵
RSA 2048 bit, signed with SHA-256.
2. サブジェクトと発行者
発行者はこれらのフィールドのコピーとして書かれ、それが証明書を自己署名にします。コモンネームは証明書ダイアログに表示される名前で、クライアントが実際に照合するのは下のサブジェクト代替名です。
3. サブジェクト代替名
少なくとも 1 つのエントリが必要です
1 行に 1 エントリで、任意で dns:、ip:、email:、uri: のプレフィックスを付けられます。プレフィックスのない行は DNS 名です。127.0.0.1 のようなアドレスリテラルは IP アドレスとして扱われます。ブラウザーがコモンネームを見なくなったため、サブジェクト代替名を 1 つも持たない証明書は即座に拒否されます。だからこのページは 1 つ以上を要求します。
4. 有効期間と拡張
今から開始し、365 日後に終了
1～825 日の範囲で指定できます。公開信頼される証明書は 2026 年 3 月 15 日から 200 日に制限されました（2027 年から 100 日、2029 年から 47 日）が、自己署名証明書はこの規則の対象外です。ただし、失効してくれるものは何もないため、短く保つのは依然として良い習慣です。
サーバー証明書やクライアント証明書には CA スイッチをオフのままにしてください。オンにすると証明書が他の証明書に署名できるようになり、それは内部階層の作り方であると同時に、ルートが信頼するすべてになりすませる鍵を配ることでもあります。意図的にオフラインで保管するルートのためだけに使ってください。
鍵用途 — この鍵に許される用途：
拡張鍵用途 — 証明書が発行される目的：
5. 生成
まだ生成していません
結果
まだ生成していません。コモンネームと少なくとも 1 つのサブジェクト代替名を入力し、証明書と鍵を生成を押すと、証明書と鍵がここに表示され、保存ボタンが付きます。
信頼ストアへの追加方法 — サービスに接続するすべてのマシンで、警告が消える前にこれが必要です。ブラウザーは設計上、新しい認証局の初回使用時に警告を出すので、クリックして進む前に、何を信頼しようとしているのかを読んでください。
Windows（マシン全体）.crt ファイルを開き、証明書のインストールを選び、ローカルマシンを選択して、すべての証明書を次のストアに配置する → 信頼されたルート証明機関と進みます。管理者権限のプロンプトからは certutil -addstore -f Root mycert.crt が同じ操作で、certutil -delstore Root mycert.crt で再び削除できます。
macOSファイルをダブルクリックしてログインキーチェーンに追加し、キーチェーンアクセスを開いて システムへドラッグし、ダブルクリックして 信頼を開き、この証明書を使用するときを常に信頼に設定します。コマンドラインでは sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt。
Debian、Ubuntu/usr/local/share/ca-certificates/mycert.crt にコピーし（PEM で、名前は .crt で終わる必要があります）、sudo update-ca-certificates を実行します。ファイルを削除してもう一度同じコマンドを実行すると削除されます。
RHEL、Fedora、CentOS/etc/pki/ca-trust/source/anchors/mycert.crt にコピーして sudo update-ca-trust を実行します。
FirefoxFirefox は独自のストアを持ちます。設定 → プライバシーとセキュリティ → 証明書 → 証明書を表示 → 認証局 → インポートと進み、この認証局をウェブサイトの識別に信頼するにチェックを入れます。
Java アプリケーションJDK の信頼ストアにインポートします：keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit。
拡張の意味。基本制約は、証明書が他の証明書に署名してよいかを示します。鍵用途は鍵が行える操作を制限します。拡張鍵用途は証明書が発行される目的を示し、TLS サーバー証明書にはTLS サーバーの目的が必要で、それをチェックするクライアントはなければ拒否します。サブジェクト鍵識別子は公開鍵のハッシュで、発行者鍵識別子は通常、発行者側の同じ値を指します。自己署名証明書では両方が同じ値を持ちます。

このページがしないこと：証明書階層の作成、CA の運用、どこかへのインストールは行いません。この証明書の背後に失効リストはありません。鍵が漏れた場合の回復策は、すべての場所でファイルを置き換え、すべての信頼ストアから削除することだけです。

プライバシー：鍵ペアはブラウザー自身の暗号機能で生成され、証明書はここで署名されます。アップロードなし、サーバーなし、Cookie なし、アナリティクスなしで、ページはローカルファイルからも動作します。結果を独立して読み戻すには、証明書デコーダーを使用してください。