Generator certyfikatów samopodpisanych

Ta strona tworzy parę kluczy i podpisuje nią certyfikat X.509 v3, więc certyfikat jest własnym wystawcą. Certyfikat jest dostępny jako -----BEGIN CERTIFICATE----- oraz jako surowy DER, a klucz prywatny jako PKCS#8. To właściwe narzędzie dla serwera deweloperskiego, wewnętrznego urządzenia, laboratorium czy bramy poczty kontrolowanych po obu stronach — a niewłaściwe dla wszystkiego, co przeglądarka obcej osoby musi zaufać bez ostrzeżenia.
Certyfikat z podpisem własnym nie jest zaufany przez nic. Żadna publiczna przeglądarka, system operacyjny ani klient poczty go nie zaakceptuje, dopóki nie zainstaluje się go jako zaufanego roota na każdej maszynie komunikującej się z usługą. Jeśli wymagany jest certyfikat działający bez instalowania czegokolwiek, uzyskaj go od urzędu certyfikacji — a jeśli potrzebne jest tylko żądanie dla CA, użyj generatora CSR.
1. Klucz
RSA 2048 bit, signed with SHA-256.
2. Podmiot i wystawca
Wystawca jest zapisany jako kopia tych pól, co czyni certyfikat podpisanym przez siebie. Nazwa pospolita to nazwa wyświetlana w oknach certyfikatów; to, co klient faktycznie sprawdza, to alternatywne nazwy podmiotu poniżej.
3. Alternatywne nazwy podmiotu
wymagany jest co najmniej jeden wpis
Jedna pozycja w wierszu, z opcjonalnym prefiksem dns:, ip:, email: lub uri:; goły wiersz to nazwa DNS, chyba że jest literałem adresu, jak 127.0.0.1, który jest traktowany jako adres IP. Odkąd przeglądarki przestały sprawdzać nazwę pospolitą (common name), certyfikat bez co najmniej jednej alternatywnej nazwy podmiotu jest odrzucany wprost, więc ta strona wymaga przynajmniej jednej.
4. Ważność i rozszerzenia
zaczyna się teraz, kończy za 365 dni
Od 1 do 825 dni. Publicznie zaufane certyfikaty są ograniczone do 200 dni od 15 marca 2026 (100 dni od 2027, 47 dni od 2029), ale certyfikat z podpisem własnym nie podlega tej zasadzie — i tak warto utrzymywać go krótko, bo nic nie unieważnia go automatycznie.
Wyłącz przełącznik CA dla certyfikatu serwera lub klienta. Włączenie go sprawia, że certyfikat może podpisywać inne certyfikaty, dzięki czemu buduje się wewnętrzną hierarchię — ale także oddaje się klucz, który może podszywać się pod cokolwiek, czemu ufa główny urząd, więc zachowaj to dla roota, który celowo pozostaje offline.
Użycie klucza — do czego może być użyty ten klucz:
Rozszerzone użycie klucza — cele, dla których wystawiono certyfikat:
5. Generowanie
nic jeszcze nie wygenerowano
Wynik
Nic jeszcze nie wygenerowano. Wypełnij nazwę pospolitą i co najmniej jedną alternatywną nazwę podmiotu, naciśnij Generuj certyfikat i klucz, a certyfikat i klucz pojawią się tutaj z przyciskami do ich zapisania.
Jak dodać go do magazynu zaufania — każda maszyna łącząca się z usługą potrzebuje tego, zanim ostrzeżenie zniknie. Przeglądarki ostrzegają przy pierwszym użyciu nowego urzędu z założenia, więc przeczytaj, czemu się ufa, zanim kliknie się dalej.
Windows (dla całego komputera) Otwórz plik .crt, wybierz Zainstaluj certyfikat, wybierz Komputer lokalny, a następnie Umieść wszystkie certyfikaty w następującym magazynie → Zaufane główne urzędy certyfikacji. Z konsoli z podwyższonymi uprawnieniami to samo zrobi certutil -addstore -f Root mycert.crt, a certutil -delstore Root mycert.crt usuwa go ponownie.
macOS Kliknij dwukrotnie plik, aby dodać go do pęku kluczy logowania, następnie otwórz Dostęp do pęku kluczy, przeciągnij go do System, kliknij dwukrotnie, otwórz Zaufanie i ustaw Podczas używania tego certyfikatu na Zawsze ufaj. W wierszu poleceń: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Skopiuj go do /usr/local/share/ca-certificates/mycert.crt (PEM, a nazwa musi kończyć się na .crt), a następnie uruchom sudo update-ca-certificates. Usuwa się go, kasując plik i ponownie uruchamiając to samo polecenie.
RHEL, Fedora, CentOS Skopiuj go do /etc/pki/ca-trust/source/anchors/mycert.crt i uruchom sudo update-ca-trust.
Firefox Firefox ma własny magazyn: Ustawienia → Prywatność i bezpieczeństwo → Certyfikaty → Wyświetl certyfikaty → Urzędy → Importuj, a następnie zaznacz Ufaj temu urzędowi przy identyfikowaniu witryn.
Aplikacje Java Zaimportuj go do magazynu zaufania JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Co oznaczają rozszerzenia. Ograniczenia podstawowe określają, czy certyfikat może podpisywać inne certyfikaty; użycie klucza ogranicza operacje, jakie klucz może wykonywać; rozszerzone użycie klucza nazywa cele, dla których wystawiono certyfikat, a certyfikat serwera TLS potrzebuje celu serwer TLS, inaczej klienci, którzy to sprawdzają, go odrzucą. Identyfikator klucza podmiotu to skrót klucza publicznego, a identyfikator klucza wystawcy zwykle wskazuje kopię tego klucza po stronie wystawcy — w certyfikacie z podpisem własnym oba mają tę samą wartość.

Czego ta strona nie robi: nie tworzy hierarchii certyfikatów, nie uruchamia urzędu certyfikacji i niczego nigdzie nie instaluje. Za tym certyfikatem nie stoi lista unieważnień: jeśli klucz wycieknie, jedyne środki to wymiana pliku wszędzie i usunięcie go z każdego magazynu zaufania.

Prywatność: para kluczy jest generowana przez kryptografię samej przeglądarki, a certyfikat podpisywany jest tutaj. Bez wysyłania, bez serwera, bez ciasteczek, bez analityki; strona działa z pliku lokalnego. Aby odczytać wynik niezależnie, użyj dekodera certyfikatów.