Bộ tạo chứng chỉ tự ký

Trang này tạo một cặp khóa và ký một chứng chỉ X.509 v3 bằng nó, nên chứng chỉ là bên phát hành của chính nó. Bạn nhận chứng chỉ dạng -----BEGIN CERTIFICATE----- và dạng DER thô, cùng khóa riêng dạng PKCS#8. Đây là công cụ đúng cho máy chủ phát triển, thiết bị nội bộ, phòng thí nghiệm hoặc cổng thư mà bạn kiểm soát cả hai đầu — và là công cụ sai cho bất cứ thứ gì trình duyệt của người lạ phải tin mà không có cảnh báo.
Chứng chỉ tự ký không được bất kỳ thứ gì tin cậy. Không trình duyệt công khai, hệ điều hành hay ứng dụng thư nào chấp nhận nó cho đến khi bạn cài nó như gốc tin cậy trên mọi máy nói chuyện với dịch vụ. Nếu bạn cần chứng chỉ hoạt động mà không cài gì, hãy xin một cái từ cơ quan chứng nhận — và nếu bạn chỉ cần một yêu cầu gửi CA, hãy dùng trình tạo CSR thay thế.
1. Khóa
RSA 2048 bit, signed with SHA-256.
2. Chủ thể và bên phát hành
Bên phát hành được ghi như bản sao của các trường này, đó là điều làm chứng chỉ trở thành tự ký. Common name là tên hiển thị trong hộp thoại chứng chỉ; thứ client thực sự khớp là các tên thay thế chủ thể bên dưới.
3. Tên thay thế của chủ thể
cần ít nhất một mục
Mỗi mục một dòng, với tiền tố tùy chọn dns:, ip:, email: hoặc uri:; một dòng trần là tên DNS, trừ khi nó là một chữ địa chỉ như 127.0.0.1, khi đó được coi là địa chỉ IP. Vì trình duyệt không còn xem common name, một chứng chỉ không có ít nhất một tên thay thế chủ thể sẽ bị từ chối hoàn toàn, nên trang này bắt buộc có một cái.
4. Hiệu lực và phần mở rộng
bắt đầu ngay, kết thúc sau 365 ngày
Từ 1 đến 825 ngày. Chứng chỉ được tin cậy công khai đã bị giới hạn 200 ngày kể từ 15 tháng 3 năm 2026 (100 ngày từ 2027, 47 ngày từ 2029), nhưng chứng chỉ tự ký không thuộc quy tắc đó — vẫn nên giữ nó ngắn, vì không gì thu hồi nó giúp bạn.
Giữ công tắc CA tắt đối với chứng chỉ server hoặc client. Bật nó làm chứng chỉ có thể ký chứng chỉ khác, đó là cách bạn dựng một hệ phân cấp nội bộ — và cũng là cách bạn trao một khóa có thể mạo danh bất cứ thứ gì gốc của bạn tin cậy, nên hãy giữ nó cho một gốc mà bạn cố ý giữ ngoại tuyến.
Cách dùng khóa — khóa này được phép dùng vào việc gì:
Mục đích sử dụng mở rộng — các mục đích mà chứng chỉ được cấp cho:
5. Tạo
chưa có gì được tạo
Kết quả
Chưa tạo gì. Điền common name và ít nhất một tên thay thế chủ thể, nhấn Tạo chứng chỉ và khóa, rồi chứng chỉ và khóa sẽ hiện ở đây kèm nút để lưu.
Cách thêm vào kho tin cậy — mọi máy kết nối đến dịch vụ đều cần điều này trước khi cảnh báo biến mất. Trình duyệt cảnh báo khi lần đầu dùng một nhà phát hành mới là có chủ đích, nên hãy đọc những gì bạn tin cậy trước khi bấm qua.
Windows (toàn máy) Mở tệp .crt, chọn Install Certificate, chọn Local Machine, rồi Place all certificates in the following store → Trusted Root Certification Authorities. Từ dấu nhắc nâng quyền, cùng việc đó là certutil -addstore -f Root mycert.crt, và certutil -delstore Root mycert.crt gỡ nó ra.
macOS Nhấp đúp tệp để thêm vào keychain đăng nhập, rồi mở Keychain Access, kéo nó vào System, nhấp đúp, mở Trust và đặt When using this certificate thành Always Trust. Trên dòng lệnh: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Sao chép vào /usr/local/share/ca-certificates/mycert.crt (PEM, và tên phải kết thúc bằng .crt), rồi chạy sudo update-ca-certificates. Gỡ bằng cách xóa tệp và chạy lại lệnh đó.
RHEL, Fedora, CentOS Sao chép vào /etc/pki/ca-trust/source/anchors/mycert.crt và chạy sudo update-ca-trust.
Firefox Firefox giữ kho riêng: Settings → Privacy & Security → Certificates → View Certificates → Authorities → Import, rồi đánh dấu Trust this CA to identify websites.
Ứng dụng Java Nhập vào kho tin cậy của JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Các phần mở rộng có ý nghĩa gì. Basic constraints cho biết chứng chỉ có được ký chứng chỉ khác không; key usage giới hạn các thao tác khóa được thực hiện; extended key usage nêu mục đích mà chứng chỉ được cấp, và một chứng chỉ TLS server cần mục đích TLS server hoặc các client kiểm tra nó sẽ từ chối. Subject key identifier là băm của khóa công khai, còn authority key identifier thường nêu bản của bên phát hành — trên chứng chỉ tự ký cả hai mang cùng giá trị.

Trang này không làm gì: nó không dựng hệ phân cấp chứng chỉ cho bạn, không chạy CA, và không cài đặt gì ở đâu cả. Không có danh sách thu hồi đằng sau chứng chỉ này: nếu khóa bị lộ, các cách khắc phục duy nhất là thay tệp ở khắp nơi và gỡ nó khỏi mọi kho tin cậy.

Quyền riêng tư: cặp khóa được tạo bằng mật mã của chính trình duyệt và chứng chỉ được ký ở đây. Không tải lên, không máy chủ, không cookie, không phân tích, và trang chạy từ tệp cục bộ. Để đọc lại kết quả một cách độc lập, dùng bộ giải mã chứng chỉ.