Generator voor zelfondertekende certificaten

Deze pagina maakt een sleutelpaar aan en ondertekent daarmee een X.509 v3-certificaat, zodat het certificaat zijn eigen uitgever is. U krijgt het certificaat als -----BEGIN CERTIFICATE----- en als ruwe DER, plus de private sleutel als PKCS#8. Het is het juiste hulpmiddel voor een ontwikkelserver, een interne applicatie, een lab of een mailgateway die u aan beide kanten beheert — en het verkeerde hulpmiddel voor iets dat de browser van een vreemde zonder waarschuwing moet vertrouwen.
Een zelfondertekend certificaat wordt door niets vertrouwd. Geen enkele publieke browser, besturingssysteem of mailclient accepteert het tot u het als vertrouwde root op elke machine die met de dienst praat, installeert. Hebt u een certificaat nodig dat werkt zonder iets te installeren, vraag er dan een aan bij een certificeringsinstantie — en hebt u alleen een aanvraag voor een CA nodig, gebruik dan de CSR-generator.
1. Sleutel
RSA 2048 bit, signed with SHA-256.
2. Subject en uitgever
De uitgever wordt geschreven als een kopie van deze velden; dat maakt het certificaat zelfondertekend. De common name is de naam die in certificaatdialogen wordt getoond; waarop de client daadwerkelijk controleert, zijn de subject alternative names hieronder.
3. Alternatieve onderwerpnamen
minstens één item is verplicht
Eén item per regel, met een optioneel voorvoegsel dns:, ip:, email: of uri:; een kale regel is een DNS-naam, tenzij het een adresliteral is zoals 127.0.0.1, dat als IP-adres wordt gezien. Omdat browsers de common name niet meer controleren, wordt een certificaat zonder minstens één subject alternative name meteen geweigerd, dus deze pagina dringt daarop aan.
4. Geldigheid en extensies
begint nu, eindigt over 365 dagen
Alles van 1 tot 825 dagen. Publiek vertrouwde certificaten zijn sinds 15 maart 2026 beperkt tot 200 dagen (100 dagen vanaf 2027, 47 dagen vanaf 2029), maar een zelfondertekend certificaat valt niet onder die regel — het blijft een goede gewoonte om het kort te houden, omdat niets het voor u intrekt.
Laat de CA-schakelaar uit voor een server- of clientcertificaat. Die inschakelen maakt het certificaat in staat andere certificaten te ondertekenen; zo bouwt u een interne hiërarchie — maar zo geeft u ook een sleutel uit die alles kan nabootsen wat uw root vertrouwt. Bewaar de schakelaar dus voor een root die u bewust offline houdt.
Key usage — waarvoor deze sleutel mag worden gebruikt:
Extended key usage — de doeleinden waarvoor het certificaat is uitgegeven:
5. Genereren
nog niets gegenereerd
Resultaat
Nog niets gegenereerd. Vul een common name en minstens één subject alternative name in, druk op Certificaat en sleutel genereren, en het certificaat en de sleutel verschijnen hier met knoppen om ze op te slaan.
Zo voegt u het toe aan een vertrouwensopslag — elke machine die verbinding maakt met de dienst, heeft dit nodig voordat de waarschuwing verdwijnt. Browsers waarschuwen bij het eerste gebruik van een nieuwe autoriteit, en dat is bewust; lees dus wat u vertrouwt voordat u doorklikt.
Windows (hele machine) Open het .crt-bestand, kies Certificaat installeren, selecteer Lokale computer, daarna Alle certificaten in de volgende winkel plaatsen → Vertrouwde basiscertificeringsinstanties. Vanuit een verhoogde prompt is hetzelfde certutil -addstore -f Root mycert.crt, en certutil -delstore Root mycert.crt verwijdert het weer.
macOS Dubbelklik op het bestand om het aan de loginsleutelhanger toe te voegen, open daarna Sleutelhangertoegang, sleep het naar Systeem, dubbelklik erop, open Vertrouwen en zet Bij gebruik van dit certificaat op Altijd vertrouwen. Op de opdrachtregel: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Kopieer het naar /usr/local/share/ca-certificates/mycert.crt (PEM, en de naam moet eindigen op .crt), en voer daarna sudo update-ca-certificates uit. Het wordt verwijderd door het bestand te wissen en dezelfde opdracht opnieuw uit te voeren.
RHEL, Fedora, CentOS Kopieer het naar /etc/pki/ca-trust/source/anchors/mycert.crt en voer sudo update-ca-trust uit.
Firefox Firefox houdt een eigen opslag bij: Instellingen → Privacy en beveiliging → Certificaten → Certificaten weergeven → Autoriteiten → Importeren, en vink daarna Deze CA vertrouwen om websites te identificeren aan.
Java-toepassingen Importeer het in de JDK-vertrouwensopslag: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Wat de extensies betekenen. Basic constraints geven aan of het certificaat andere certificaten mag ondertekenen; key usage beperkt de bewerkingen die de sleutel mag uitvoeren; extended key usage noemt de doelen waarvoor het certificaat is uitgegeven, en een TLS-servercertificaat heeft het doel TLS-server nodig, anders weigeren clients die dit controleren het. De subject key identifier is een hash van de publieke sleutel, en de authority key identifier noemt normaal gesproken de kopie van de uitgever ervan — bij een zelfondertekend certificaat hebben beide dezelfde waarde.

Wat deze pagina niet doet: ze maakt geen certificaathiërarchie voor u, draait geen CA en installeert niets ergens. Er is geen intrekkingslijst achter dit certificaat: als de sleutel uitlekt, zijn de enige oplossingen het bestand overal vervangen en het uit elke vertrouwensopslag verwijderen.

Privacy: het sleutelpaar wordt gegenereerd door de eigen cryptografie van de browser en het certificaat wordt hier ondertekend. Geen upload, geen server, geen cookies, geen analyse, en de pagina werkt vanuit een lokaal bestand. Om het resultaat onafhankelijk terug te lezen, gebruikt u de certificaatdecoder.