Gerador de certificados autoassinados

Esta página cria um par de chaves e assina com ele um certificado X.509 v3, pelo que o certificado é o seu próprio emissor. Obtém o certificado como -----BEGIN CERTIFICATE----- e como DER bruto, mais a chave privada em PKCS#8. É a ferramenta certa para um servidor de desenvolvimento, um equipamento interno, um laboratório ou um gateway de correio que controle nas duas extremidades — e a ferramenta errada para qualquer coisa que o navegador de um estranho tenha de confiar sem aviso.
Um certificado autoassinado não é confiado por nada. Nenhum navegador público, sistema operativo ou cliente de correio o aceitará até o instalar como raiz de confiança em cada máquina que fala com o serviço. Se precisar de um certificado que funcione sem instalar nada, obtenha-o de uma autoridade de certificação — e se só precisar de um pedido para uma CA, use em vez disso o gerador de CSR.
1. Chave
RSA 2048 bit, signed with SHA-256.
2. Assunto e emissor
O emissor é escrito como cópia destes campos, o que torna o certificado autoassinado. O nome comum é o nome mostrado nas janelas de certificado; o que o cliente realmente compara são os nomes alternativos do assunto abaixo.
3. Nomes alternativos do assunto
é necessária pelo menos uma entrada
Uma entrada por linha, com um prefixo opcional dns:, ip:, email: ou uri:; uma linha simples é um nome DNS, a menos que seja um literal de endereço como 127.0.0.1, que é tomado como endereço IP. Desde que os navegadores deixaram de olhar para o nome comum, um certificado sem pelo menos um nome alternativo do assunto é rejeitado de imediato, por isso esta página exige um.
4. Validade e extensões
começa agora, termina em 365 dias
Qualquer valor de 1 a 825 dias. Os certificados de confiança pública estão limitados a 200 dias desde 15 de março de 2026 (100 dias a partir de 2027, 47 dias a partir de 2029), mas um certificado autoassinado não está abrangido por essa regra — ainda assim é boa prática mantê-lo curto, porque nada o revoga por si.
Deixe o interruptor de CA desligado para um certificado de servidor ou cliente. Ligá-lo torna o certificado capaz de assinar outros certificados, que é como se constrói uma hierarquia interna — e também como se entrega uma chave que pode fazer-se passar por qualquer coisa em que a sua raiz confie, por isso guarde-o para uma raiz que mantenha deliberadamente offline.
Utilização da chave — para que pode ser usada esta chave:
Utilização estendida da chave — as finalidades para que o certificado é emitido:
5. Gerar
nada gerado ainda
Resultado
Nada gerado ainda. Preencha um nome comum e pelo menos um nome alternativo do assunto, carregue em Gerar certificado e chave, e o certificado e a chave aparecem aqui com botões para os guardar.
Como o adicionar a um repositório de confiança — cada máquina que se liga ao serviço precisa disto antes de o aviso desaparecer. Os navegadores avisam na primeira utilização de uma nova autoridade por desenho, por isso leia o que está a confiar antes de avançar.
Windows (para toda a máquina) Abra o ficheiro .crt, escolha Instalar certificado, selecione Máquina local, depois Colocar todos os certificados no seguinte repositório → Autoridades de certificação raiz de confiança. A partir de uma consola elevada o mesmo é certutil -addstore -f Root mycert.crt, e certutil -delstore Root mycert.crt remove-o de novo.
macOS Faça duplo clique no ficheiro para o adicionar ao porta-chaves de sessão, depois abra o Acesso às Chaves, arraste-o para Sistema, faça duplo clique nele, abra Confiança e defina Ao utilizar este certificado como Confiar sempre. Na linha de comandos: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Copie-o para /usr/local/share/ca-certificates/mycert.crt (PEM, e o nome tem de terminar em .crt), depois execute sudo update-ca-certificates. É removido apagando o ficheiro e executando o mesmo comando de novo.
RHEL, Fedora, CentOS Copie-o para /etc/pki/ca-trust/source/anchors/mycert.crt e execute sudo update-ca-trust.
Firefox O Firefox mantém o seu próprio repositório: Definições → Privacidade e Segurança → Certificados → Ver certificados → Autoridades → Importar, depois marque Confiar nesta CA para identificar sítios web.
Aplicações Java Importe-o para o repositório de confiança do JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
O que significam as extensões. As restrições básicas dizem se o certificado pode assinar outros certificados; a utilização da chave restringe as operações que a chave pode executar; a utilização estendida da chave indica as finalidades para que o certificado é emitido, e um certificado de servidor TLS precisa da finalidade servidor TLS ou os clientes que a verificam recusá-lo-ão. O identificador da chave do assunto é um hash da chave pública, e o identificador da chave da autoridade normalmente indica a cópia do emissor — num certificado autoassinado ambos têm o mesmo valor.

O que esta página não faz: não cria uma hierarquia de certificados por si, não executa uma CA, e não instala nada em lado nenhum. Não existe lista de revogação por trás deste certificado: se a chave vazar, os únicos remédios são substituir o ficheiro em todo o lado e removê-lo de todos os repositórios de confiança.

Privacidade: o par de chaves é gerado pela própria criptografia do navegador e o certificado é assinado aqui. Sem envio, sem servidor, sem cookies, sem análises, e a página funciona a partir de um ficheiro local. Para ler o resultado de forma independente, use o descodificador de certificados.