Generator for selvsignerte sertifikater

Siden oppretter et nøkkelpar og signerer et X.509 v3-sertifikat med det, slik at sertifikatet er sin egen utsteder. Resultatet er sertifikatet som -----BEGIN CERTIFICATE----- og som rå DER, pluss den private nøkkelen som PKCS#8. Det er riktig verktøy for en utviklingsserver, en intern enhet, et lab eller en e-postgateway som man kontrollerer i begge ender — og feil verktøy for alt en fremmed nettleser må stole på uten advarsel.
Et selvsignert sertifikat er ikke klarert av noe. Ingen offentlig nettleser, operativsystem eller e-postklient vil godta det før det installeres som klarert rot på hver maskin som snakker med tjenesten. Trenger man et sertifikat som virker uten installasjon, skaffes det fra en sertifiseringsinstans — og hvis man bare trenger en forespørsel til en CA, brukes CSR-generatoren i stedet.
1. Nøkkel
RSA 2048 bit, signed with SHA-256.
2. Emne og utsteder
Utstederen skrives som en kopi av disse feltene, og det er det som gjør sertifikatet selvsignert. Common name er navnet som vises i sertifikatdialoger; det klienten faktisk matcher, er de alternative emnenavnene nedenfor.
3. Alternative emnenavn
minst ett felt kreves
Én oppføring per linje, med et valgfritt prefiks dns:, ip:, email: eller uri:; en bar linje er et DNS-navn, med mindre det er en adresse-literal som 127.0.0.1, som tas som en IP-adresse. Siden nettlesere sluttet å se på common name, avvises et sertifikat uten minst ett alternativt emnenavn (subject alternative name) rett ut, så denne siden krever ett.
4. Gyldighet og utvidelser
starter nå, slutter om 365 dager
Alt fra 1 til 825 dager. Offentlig klarerte sertifikater har vært begrenset til 200 dager siden 15. mars 2026 (100 dager fra 2027, 47 dager fra 2029), men et selvsignert sertifikat dekkes ikke av den regelen — det er likevel en god vane å holde det kort, fordi ingenting opphever det automatisk.
La CA-bryteren være av for et server- eller klientsertifikat. Å slå den på gjør at sertifikatet kan signere andre sertifikater, som er hvordan man bygger et internt hierarki — og også hvordan man deler ut en nøkkel som kan utgi seg for alt som roten stoler på, så behold den for en rot man bevisst holder frakoblet.
Nøkkelbruk — hva denne nøkkelen kan brukes til:
Utvidet nøkkelbruk — formålene sertifikatet er utstedt for:
5. Generer
ingenting generert ennå
Resultat
Ingen sertifikat generert ennå. Fyll inn et common name og minst ett alternativt emnenavn, trykk Generer sertifikat og nøkkel, så vises sertifikatet og nøkkelen her med knapper for å lagre dem.
Slik legges det til i et klarert lager — hver maskin som kobler seg til tjenesten, trenger dette før advarselen forsvinner. Nettlesere varsler ved første bruk av en ny utsteder med vilje, så les hva som stoles på før man klikker seg videre.
Windows (hele maskinen) Åpne .crt-filen, velg Installer sertifikat, velg Lokal maskin, og deretter Plasser alle sertifikater i følgende lager → Klarerte rotsertifiseringsinstanser. Fra en forhøyet ledetekst er det samme certutil -addstore -f Root mycert.crt, og certutil -delstore Root mycert.crt fjerner det igjen.
macOS Dobbeltklikk filen for å legge den til i påloggingsnøkkelringen, åpne Nøkkelringtilgang, dra den inn i System, dobbeltklikk den, åpne Tillit og sett Når dette sertifikatet brukes til Alltid tillit. Fra kommandolinjen: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Kopier den til /usr/local/share/ca-certificates/mycert.crt (PEM, og navnet må slutte på .crt), og kjør deretter sudo update-ca-certificates. Den fjernes ved å slette filen og kjøre den samme kommandoen på nytt.
RHEL, Fedora, CentOS Kopier den til /etc/pki/ca-trust/source/anchors/mycert.crt og kjør sudo update-ca-trust.
Firefox Firefox har sitt eget lager: Innstillinger → Personvern og sikkerhet → Sertifikater → Vis sertifikater → Myndigheter → Importer, og kryss deretter av for Stol på denne CA-en for å identifisere nettsteder.
Java-applikasjoner Importer den til JDK-tillitslageret: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Hva utvidelsene betyr. Basic constraints sier om sertifikatet kan signere andre sertifikater; key usage begrenser operasjonene nøkkelen kan utføre; extended key usage navngir formålene sertifikatet er utstedt for, og et TLS-serversertifikat trenger formålet TLS server, ellers avviser klienter som sjekker det det. Subject key identifier er en hash av den offentlige nøkkelen, og authority key identifier navngir normalt utstederens kopi av den — på et selvsignert sertifikat har begge samme verdi.

Hva denne siden ikke gjør: den oppretter ikke et sertifikathierarki, kjører ikke en CA og installerer ingenting noe sted. Det finnes ingen tilbakekallingsliste bak dette sertifikatet: hvis nøkkelen lekker, er de eneste løsningene å erstatte filen overalt og fjerne den fra alle klarerte lagre.

Personvern: nøkkelparet genereres av nettleserens egen kryptografi, og sertifikatet signeres her. Ingen opplasting, ingen server, ingen informasjonskapsler, ingen analyse, og siden fungerer fra en lokal fil. For å lese resultatet uavhengig, bruk sertifikatdekoderen.