Генератор самопідписаних сертифікатів

Ця сторінка створює пару ключів і підписує сертифікат X.509 v3 цим ключем, тож сертифікат є власним видавцем. Ви отримуєте сертифікат як -----BEGIN CERTIFICATE----- і як сирий DER, а також закритий ключ як PKCS#8. Це правильний інструмент для сервера розробки, внутрішнього пристрою, лабораторії або поштового шлюзу, які ви контролюєте з обох кінців — і неправильний для будь-чого, що чужий браузер має довіряти без попередження.
Самопідписаний сертифікат ніхто не довіряє. Жоден публічний браузер, операційна система чи поштовий клієнт не прийме його, поки ви не встановите його як довірений корінь на кожній машині, що звертається до сервісу. Якщо потрібен сертифікат, що працює без встановлення чогось, отримайте його від центру сертифікації — а якщо потрібен лише запит до CA, використовуйте генератор CSR.
1. Ключ
RSA 2048 bit, signed with SHA-256.
2. Суб'єкт і видавець
Видавця записано як копію цих полів, що й робить сертифікат самопідписаним. Загальне ім'я — це ім'я, що показується в діалогах сертифікатів; те, з чим клієнт справді зіставляє, — альтернативні імена суб'єкта нижче.
3. Альтернативні імена суб'єкта
потрібен принаймні один запис
Один запис на рядок, з необов'язковим префіксом dns:, ip:, email: або uri:; голий рядок — це ім'я DNS, якщо тільки це не літерал адреси на кшталт 127.0.0.1, який сприймається як IP-адреса. Оскільки браузери перестали дивитися на загальне ім'я, сертифікат без принаймні одного альтернативного імені суб'єкта відхиляється повністю, тому ця сторінка вимагає хоча б одне.
4. Термін дії та розширення
починається зараз, закінчується через 365 днів
Від 1 до 825 днів. Публічно довірені сертифікати обмежено 200 днями з 15 березня 2026 (100 днів з 2027, 47 днів з 2029), але самопідписаний сертифікат під це правило не потрапляє — все одно гарна звичка тримати його коротким, бо ніщо його за вас не відкличе.
Залиште перемикач CA вимкненим для серверного або клієнтського сертифіката. Увімкнення робить сертифікат здатним підписувати інші сертифікати — так будують внутрішню ієрархію, але також так видають ключ, що може видати себе за будь-що, довірене вашим коренем, тож зберігайте це для кореня, який навмисно тримаєте офлайн.
Використання ключа — для чого може використовуватися цей ключ:
Розширене використання ключа — призначення, для яких видано сертифікат:
5. Згенерувати
ще нічого не згенеровано
Результат
Сертифікат ще не згенеровано. Заповніть загальне ім'я і принаймні одне альтернативне ім'я суб'єкта, натисніть Згенерувати сертифікат і ключ, і сертифікат і ключ з'являться тут з кнопками для їх збереження.
Як додати його до сховища довіри — кожна машина, що підключається до сервісу, потребує цього, перш ніж попередження зникне. Браузери попереджають про перше використання нового центру довіри за задумом, тому прочитайте, чому довіряєте, перш ніж натиснути далі.
Windows (для всієї машини) Відкрийте файл .crt, оберіть Встановити сертифікат, виберіть Локальний комп'ютер, потім Помістити всі сертифікати в такому сховищі → Довірені кореневі центри сертифікації. З командного рядка з правами адміністратора те саме — certutil -addstore -f Root mycert.crt, а certutil -delstore Root mycert.crt видаляє його знову.
macOS Двічі клацніть файл, щоб додати його в зв'язку ключів входу, потім відкрийте «Зв'язка ключів», перетягніть його в Системні, двічі клацніть, відкрийте Довіру і встановіть Під час використання цього сертифіката на Завжди довіряти. З командного рядка: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Скопіюйте його в /usr/local/share/ca-certificates/mycert.crt (PEM, і назва має закінчуватися на .crt), потім виконайте sudo update-ca-certificates. Видаляється видаленням файлу і повторним виконанням тієї самої команди.
RHEL, Fedora, CentOS Скопіюйте його в /etc/pki/ca-trust/source/anchors/mycert.crt і виконайте sudo update-ca-trust.
Firefox Firefox веде власне сховище: Налаштування → Приватність і безпека → Сертифікати → Переглянути сертифікати → Центри сертифікації → Імпортувати, потім позначте Довіряти цьому ЦС для ідентифікації вебсайтів.
Java-застосунки Імпортуйте його в сховище довіри JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Що означають розширення. Basic constraints кажуть, чи може сертифікат підписувати інші сертифікати; key usage обмежує операції, які може виконувати ключ; extended key usage називає призначення, для яких видано сертифікат, а сертифікат сервера TLS потребує призначення TLS server, інакше клієнти, що його перевіряють, відмовляться. Subject key identifier — це хеш відкритого ключа, а authority key identifier зазвичай називає копію видавця — у самопідписаному сертифікаті обидва мають однакове значення.

Чого ця сторінка не робить: вона не створює ієрархію сертифікатів за вас, не запускає CA і нічого нікуди не встановлює. За цим сертифікатом немає списку відкликання: якщо ключ витече, єдині засоби — замінити файл скрізь і прибрати його з усіх сховищ довіри.

Приватність: пара ключів генерується криптографією самого браузера, а сертифікат підписується тут. Без вивантаження, без сервера, без cookie, без аналітики; сторінка працює з локального файлу. Щоб незалежно прочитати результат, використовуйте декодер сертифікатів.