Generator för självsignerade certifikat

Den här sidan skapar ett nyckelpar och signerar ett X.509 v3-certifikat med det, så certifikatet är sin egen utfärdare. Certifikatet fås som -----BEGIN CERTIFICATE----- och som rå DER, plus den privata nyckeln som PKCS#8. Det är rätt verktyg för en utvecklingsserver, en intern apparat, ett labb eller en e-postgateway som man kontrollerar i båda ändar — och fel verktyg för allt som någon annans webbläsare ska lita på utan varning.
Ett självsignerat certifikat litar ingen på. Ingen publik webbläsare, inget operativsystem och ingen e-postklient accepterar det förrän det installeras som en betrodd rot på varje maskin som talar med tjänsten. Behövs ett certifikat som fungerar utan någon installation, skaffa ett från en certifikatutfärdare — och om endast en begäran till en CA behövs, använd CSR-generatorn i stället.
1. Nyckel
RSA 2048 bit, signed with SHA-256.
2. Ämne och utfärdare
Utfärdaren skrivs som en kopia av dessa fält, vilket är det som gör certifikatet självsignerat. Det gemensamma namnet är namnet som visas i certifikatdialoger; det klienten faktiskt matchar är de alternativa ämnesnamnen nedan.
3. Alternativa ämnesnamn
minst en post krävs
En post per rad, med ett valfritt prefix dns:, ip:, email: eller uri:; en bar rad är ett DNS-namn, såvida den inte är en adressliteral som 127.0.0.1, som tas som en IP-adress. Eftersom webbläsare slutade titta på det gemensamma namnet avvisas ett certifikat utan minst ett alternativt ämnesnamn helt, så den här sidan kräver ett.
4. Giltighet och tillägg
börjar nu, slutar om 365 dagar
Vad som helst från 1 till 825 dagar. Publikt betrodda certifikat har begränsats till 200 dagar sedan den 15 mars 2026 (100 dagar från 2027, 47 dagar från 2029), men ett självsignerat certifikat omfattas inte av den regeln — det är ändå en bra vana att hålla det kort, eftersom ingenting återkallar det åt en.
Lämna CA-omkopplaren av för ett server- eller klientcertifikat. Att slå på den gör att certifikatet kan signera andra certifikat, vilket är hur man bygger en intern hierarki — och också hur man delar ut en nyckel som kan utge sig för att vara vad som helst som roten litar på, så behåll den för en rot som man medvetet håller offline.
Nyckelanvändning — vad denna nyckel får användas till:
Utökad nyckelanvändning — syftena som certifikatet är utfärdat för:
5. Generera
inget genererat ännu
Resultat
Inget genererat ännu. Fyll i ett gemensamt namn och minst ett alternativt ämnesnamn, tryck på Generera certifikat och nyckel, så visas certifikatet och nyckeln här med knappar för att spara dem.
Så läggs det till i en betrodd lagring — varje maskin som ansluter till tjänsten behöver detta innan varningen försvinner. Webbläsare varnar vid första användningen av en ny auktoritet med avsikt, så läs vad som litas på innan man klickar vidare.
Windows (maskinomfattande) Öppna .crt-filen, välj Installera certifikat, markera Lokal dator, sedan Placera alla certifikat i följande lagring → Betrodda rotcertifikatutfärdare. Från en förhöjd kommandotolk är samma sak certutil -addstore -f Root mycert.crt, och certutil -delstore Root mycert.crt tar bort det igen.
macOS Dubbelklicka på filen för att lägga till den i inloggningsnyckelringen, öppna sedan Nyckelringsåtkomst, dra den till System, dubbelklicka på den, öppna Förtroende och ange Vid användning av det här certifikatet till Lita alltid på. På kommandoraden: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Kopiera den till /usr/local/share/ca-certificates/mycert.crt (PEM, och namnet måste sluta med .crt), kör sedan sudo update-ca-certificates. Den tas bort genom att radera filen och köra samma kommando igen.
RHEL, Fedora, CentOS Kopiera den till /etc/pki/ca-trust/source/anchors/mycert.crt och kör sudo update-ca-trust.
Firefox Firefox har sin egen lagring: Inställningar → Integritet och säkerhet → Certifikat → Visa certifikat → Myndigheter → Importera, och markera sedan Lita på denna CA för att identifiera webbplatser.
Java-applikationer Importera den till JDK:s betrodda lagring: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Vad tilläggen betyder. Grundläggande begränsningar säger om certifikatet får signera andra certifikat; nyckelanvändning begränsar vilka operationer nyckeln får utföra; utökad nyckelanvändning anger vilka syften certifikatet är utfärdat för, och ett TLS-serverscertifikat behöver syftet TLS-server eller så vägrar klienter som kontrollerar det. Ämnesnyckelidentifieraren är en hash av den publika nyckeln, och auktoritetsnyckelidentifieraren anger normalt utfärdarens kopia av den — på ett självsignerat certifikat bär båda samma värde.

Vad den här sidan inte gör: den skapar ingen certifikathierarki åt användaren, kör ingen CA och installerar ingenting någonstans. Det finns ingen återkallelselista bakom det här certifikatet: om nyckeln läcker är de enda åtgärderna att ersätta filen överallt och ta bort den från varje betrodd lagring.

Integritet: nyckelparet genereras av webbläsarens egen kryptografi och certifikatet signeras här. Ingen uppladdning, ingen server, inga cookies, ingen analys, och sidan fungerar från en lokal fil. För att läsa tillbaka resultatet oberoende, använd certifikatavkodaren.