Generátor self-signed certifikátov

Táto stránka vytvorí pár kľúčov a podpíše ním certifikát X.509 v3, takže certifikát je vlastným vydavateľom. Certifikát sa získa ako -----BEGIN CERTIFICATE----- aj ako surový DER, plus súkromný kľúč vo formáte PKCS#8. Je to správny nástroj pre vývojový server, interné zariadenie, laboratórium alebo poštovú bránu, ktorú ovládate na oboch koncoch — a nesprávny nástroj pre čokoľvek, čomu cudzí prehliadač musí dôverovať bez varovania.
Certifikát s vlastným podpisom nie je dôveryhodný ničím. Žiadny verejný prehliadač, operačný systém ani poštový klient ho neprijme, kým sa neinštaluje ako dôveryhodný koreň na každom počítači, ktorý sa so službou komunikuje. Ak sa potrebuje certifikát, ktorý funguje bez inštalácie čohokoľvek, získa sa od certifikačnej autority — a ak sa potrebuje len žiadosť pre CA, použije sa namiesto toho generátor CSR.
1. Kľúč
RSA 2048 bit, signed with SHA-256.
2. Subjekt a vydavateľ
Vydavateľ sa zapíše ako kópia týchto polí, čo robí certifikát self-signed. Common name je názov zobrazovaný v dialógoch certifikátov; klient skutočne porovnáva alternatívne názvy subjektu uvedené nižšie.
3. Alternatívne názvy predmetu
aspoň jedna položka je povinná
Jeden záznam na riadok, s voliteľným prefixom dns:, ip:, email: alebo uri:; holý riadok je názov DNS, pokiaľ nejde o adresný literál ako 127.0.0.1, ktorý sa berie ako IP adresa. Odkedy prehliadače prestali sledovať common name, certifikát bez aspoň jedného alternatívneho názvu subjektu sa odmietne úplne, preto táto stránka jeden vyžaduje.
4. Platnosť a rozšírenia
začína sa teraz, končí o 365 dní
Ľubovoľná hodnota od 1 do 825 dní. Verejne dôveryhodné certifikáty sú od 15. marca 2026 obmedzené na 200 dní (od roku 2027 na 100 dní, od roku 2029 na 47 dní), ale na certifikát s vlastným podpisom sa toto pravidlo nevzťahuje — stále je dobré mať ho krátky, pretože ho nič nezruší automaticky.
Prepínač CA pre serverový alebo klientsky certifikát sa nechá vypnutý. Zapnutie umožní certifikátu podpisovať iné certifikáty, čím sa dá vybudovať interná hierarchia — no zároveň sa tým vydá kľúč, ktorý dokáže zosobniť čokoľvek, čomu koreň dôveruje, preto ho vyhradí sa pre koreň, ktorý zámerne držíte offline.
Použitie kľúča — na čo sa tento kľúč smie používať:
Rozšírené použitie kľúča — účely, pre ktoré je certifikát vydaný:
5. Generovanie
zatiaľ nič nebolo vygenerované
Výsledok
Zatiaľ nič nie je vygenerované. Vyplní sa common name a aspoň jeden alternatívny názov subjektu, stlačí sa Vygenerovať certifikát a kľúč a certifikát a kľúč sa tu zobrazia s tlačidlami na ich uloženie.
Ako pridať certifikát do úložiska dôveryhodných certifikátov — každý počítač, ktorý sa pripája k službe, to potrebuje skôr, než varovanie zmizne. Prehliadače podľa návrhu varujú pri prvom použití novej autority, preto sa pred potvrdením treba zamyslieť nad tým, čomu sa dôveruje.
Windows (pre celý počítač) Otvorí sa súbor .crt, zvolí sa Inštalovať certifikát, vyberie sa Miestny počítač, potom Umiestniť všetky certifikáty do nasledujúceho úložiska → Dôveryhodné koreňové certifikačné autority. Z príkazového riadku s oprávneniami správcu sa to dosiahne príkazom certutil -addstore -f Root mycert.crt a certutil -delstore Root mycert.crt ho odstráni.
macOS Dvojklikom na súbor sa pridá do kľúčenky prihláseného používateľa, potom sa v aplikácii Prístup ku kľúčenkám presunie do Systém, dvakrát sa klikne, otvorí sa Dôverovať a nastaví sa Pri používaní tohto certifikátu na Vždy dôverovať. Z príkazového riadku: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Skopíruje sa do /usr/local/share/ca-certificates/mycert.crt (PEM, názov musí končiť na .crt), potom sa spustí sudo update-ca-certificates. Odstráni sa vymazaním súboru a opätovným spustením rovnakého príkazu.
RHEL, Fedora, CentOS Skopíruje sa do /etc/pki/ca-trust/source/anchors/mycert.crt a spustí sa sudo update-ca-trust.
Firefox Firefox má vlastné úložisko: Nastavenia → Súkromie a zabezpečenie → Certifikáty → Zobraziť certifikáty → Autority → Importovať, potom sa označí Dôverovať tejto CA pri identifikácii webových stránok.
Java aplikácie Importuje sa do úložiska dôveryhodných certifikátov JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Čo znamenajú rozšírenia. Basic constraints určujú, či certifikát smie podpisovať iné certifikáty; key usage obmedzuje operácie, ktoré kľúč smie vykonávať; extended key usage pomenúva účely, pre ktoré je certifikát vydaný, a certifikát TLS servera potrebuje účel TLS server, inak ho klienti, ktorí to kontrolujú, odmietnu. Subject key identifier je hash verejného kľúča a authority key identifier zvyčajne označuje kópiu tohto kľúča u vydavateľa — pri certifikáte s vlastným podpisom obe nesú rovnakú hodnotu.

Čo táto stránka nerobí: nevytvára hierarchiu certifikátov, neprevádzkuje CA a nič nikam neinštaluje. Za týmto certifikátom nie je zoznam odvolaných certifikátov: ak kľúč unikne, jedinými nápravami sú nahradenie súboru všade a odstránenie z každého úložiska dôveryhodných certifikátov.

Súkromie: pár kľúčov vytvára vlastná kryptografia prehliadača a certifikát sa podpisuje tu. Žiadne nahrávanie, žiadny server, žiadne cookies, žiadna analytika a stránka funguje z lokálneho súboru. Na nezávislé prečítanie výsledku slúži dekodér certifikátov.