Generator de certificate autosemnate

Această pagină creează o pereche de chei și semnează cu ea un certificat X.509 v3, astfel încât certificatul este propriul emitent. Certificatul se obține ca -----BEGIN CERTIFICATE----- și ca DER brut, iar cheia privată ca PKCS#8. Este instrumentul potrivit pentru un server de dezvoltare, un dispozitiv intern, un laborator sau un gateway de e-mail controlat la ambele capete — și instrumentul greșit pentru orice trebuie să fie de încredere în browserul unui străin, fără avertisment.
Un certificat autosemnat nu este de încredere pentru nimeni. Niciun browser public, sistem de operare sau client de e-mail nu îl va accepta până nu este instalat ca rădăcină de încredere pe fiecare mașină care comunică cu serviciul. Dacă este nevoie de un certificat care să funcționeze fără instalare, se obține de la o autoritate de certificare — iar dacă este nevoie doar de o cerere către o AC, se folosește în schimb generatorul CSR.
1. Cheie
RSA 2048 bit, signed with SHA-256.
2. Subiect și emitent
Emitentul se scrie ca o copie a acestor câmpuri, ceea ce face certificatul autosemnat. Numele comun este numele afișat în dialogurile certificatelor; ceea ce potrivește clientul efectiv sunt alternativele de nume de subiect de mai jos.
3. Nume alternative ale subiectului
este necesară cel puțin o intrare
Câte o intrare pe linie, cu un prefix opțional dns:, ip:, email: sau uri:; o linie simplă este un nume DNS, cu excepția cazului în care este o adresă literală precum 127.0.0.1, care se consideră adresă IP. Deoarece browserele au încetat să mai verifice numele comun, un certificat fără cel puțin o alternativă de nume de subiect este respins direct, de aceea pagina cere cel puțin una.
4. Valabilitate și extensii
începe acum, se termină în 365 de zile
Orice interval de la 1 la 825 de zile. Certificatele cu încredere publică au fost limitate la 200 de zile din 15 martie 2026 (100 de zile din 2027, 47 de zile din 2029), dar un certificat autosemnat nu intră sub această regulă — este totuși un obicei bun să fie scurt, deoarece nimic nu îl revocă automat.
Comutatorul CA rămâne oprit pentru un certificat de server sau de client. Dacă se pornește, certificatul poate semna alte certificate, așa se construiește o ierarhie internă — și tot așa se distribuie o cheie care poate imita orice are încredere rădăcina, deci se păstrează pentru o rădăcină pe care se dorește în mod deliberat să rămână offline.
Utilizarea cheii — pentru ce poate fi folosită această cheie:
Utilizare extinsă a cheii — scopurile pentru care este emis certificatul:
5. Generare
nimic generat încă
Rezultat
Nimic generat încă. Se completează un nume comun și cel puțin un nume alternativ de subiect, se apasă Generează certificatul și cheia, iar certificatul și cheia apar aici, cu butoane pentru salvarea lor.
Cum se adaugă în magazinul de încredere — fiecare mașină care se conectează la serviciu are nevoie de asta înainte ca avertismentul să dispară. Browserele avertizează, prin design, la prima utilizare a unei autorități noi, așa că se citește ce se acceptă ca fiind de încredere înainte de a continua.
Windows (la nivel de mașină) Se deschide fișierul .crt, se alege Instalare certificat, se selectează Mașină locală, apoi Plasează toate certificatele în următorul magazin → Autorități de certificare rădăcină de încredere. Dintr-o consolă cu drepturi de administrator, același lucru este certutil -addstore -f Root mycert.crt, iar certutil -delstore Root mycert.crt îl elimină din nou.
macOS Un dublu clic pe fișier îl adaugă în keychain-ul de autentificare, apoi se deschide Keychain Access, se trage în System, se face dublu clic pe el, se deschide Trust și se setează Când se folosește acest certificat la Întotdeauna de încredere. În linia de comandă: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Se copiază în /usr/local/share/ca-certificates/mycert.crt (PEM, iar numele trebuie să se termine în .crt), apoi se rulează sudo update-ca-certificates. Se elimină ștergând fișierul și rulând din nou aceeași comandă.
RHEL, Fedora, CentOS Se copiază în /etc/pki/ca-trust/source/anchors/mycert.crt și se rulează sudo update-ca-trust.
Firefox Firefox își păstrează propriul magazin: Setări → Confidențialitate & securitate → Certificate → Vizualizare certificate → Autorități → Importă, apoi se bifează Are încredere în această AC pentru a identifica site-uri web.
Aplicații Java Se importă în magazinul de încredere al JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Ce înseamnă extensiile. Basic constraints arată dacă certificatul poate semna alte certificate; key usage restricționează operațiile pe care le poate efectua cheia; extended key usage numește scopurile pentru care este emis certificatul, iar un certificat de server TLS are nevoie de scopul TLS server, altfel clienții care verifică îl vor refuza. Identificatorul cheii de subiect este un hash al cheii publice, iar identificatorul cheii de emitent indică de obicei copia emitentului — la un certificat autosemnat ambele au aceeași valoare.

Ce nu face această pagină: nu creează o ierarhie de certificate, nu rulează o AC și nu instalează nimic nicăieri. Nu există nicio listă de revocare în spatele acestui certificat: dacă cheia se scurge, singurele remedii sunt înlocuirea fișierului peste tot și eliminarea lui din fiecare magazin de încredere.

Confidențialitate: perechea de chei este generată cu criptografia proprie a browserului, iar certificatul este semnat aici. Nicio încărcare, niciun server, niciun cookie, nicio analiză, iar pagina funcționează dintr-un fișier local. Pentru a citi rezultatul independent, se folosește decodorul de certificate.