Генератор самоподписанного сертификата

Эта страница создаёт пару ключей и подписывает ею сертификат X.509 v3, так что сертификат является собственным издателем. Вы получаете сертификат в виде -----BEGIN CERTIFICATE----- и в исходном DER, плюс закрытый ключ в PKCS#8. Это правильный инструмент для сервера разработки, внутреннего устройства, лаборатории или почтового шлюза, которые вы контролируете с обеих сторон — и неправильный для всего, чему браузер стороннего человека должен доверять без предупреждения.
Самоподписанному сертификату не доверяет ничто. Ни один публичный браузер, операционная система или почтовый клиент его не примет, пока вы не установите его как доверенный корневой на каждой машине, которая обращается к службе. Если нужен сертификат, который работает без установки чего-либо, получите его у удостоверяющего центра; если нужен только запрос для ЦС, используйте вместо этого генератор CSR.
1. Ключ
RSA 2048 bit, signed with SHA-256.
2. Субъект и издатель
Издатель записывается как копия этих полей, что и делает сертификат самоподписанным. Общее имя — это имя, которое показывается в диалогах сертификатов; то, с чем клиент реально сверяется, — альтернативные имена субъекта ниже.
3. Альтернативные имена субъекта
требуется хотя бы одна запись
Одна запись в строке, с необязательным префиксом dns:, ip:, email: или uri:; голая строка — имя DNS, если только это не литерал адреса вроде 127.0.0.1, который принимается как IP-адрес. Поскольку браузеры перестали смотреть на общее имя, сертификат без хотя бы одного альтернативного имени субъекта отвергается сразу, поэтому эта страница требует хотя бы одно.
4. Срок действия и расширения
начинается сейчас, заканчивается через 365 дней
От 1 до 825 дней. Публично доверенные сертификаты ограничены 200 днями с 15 марта 2026 года (100 дней с 2027 года, 47 дней с 2029), но на самоподписанный сертификат это правило не распространяется — всё равно полезно держать его коротким, потому что за вас его никто не отзовёт.
Оставьте переключатель ЦС выключенным для серверного или клиентского сертификата. Включение делает сертификат способным подписывать другие сертификаты, что и нужно для построения внутренней иерархии — но также и так выдаётся ключ, способный выдавать себя за что угодно, что доверяет ваш корень, поэтому держите его для корня, который вы намеренно держите офлайн.
Назначение ключа — для чего может использоваться этот ключ:
Расширенное назначение ключа — цели, для которых выдан сертификат:
5. Создание
ещё ничего не создано
Результат
Пока ничего не создано. Заполните общее имя и хотя бы одно альтернативное имя субъекта, нажмите Создать сертификат и ключ — сертификат и ключ появятся здесь с кнопками для сохранения.
Как добавить в хранилище доверенных — каждая машина, которая подключается к службе, нуждается в этом, прежде чем предупреждение уйдёт. Браузеры по замыслу предупреждают при первом использовании нового центра, поэтому прочитайте, чему вы доверяете, прежде чем нажимать «продолжить».
Windows (для всей машины) Откройте файл .crt, выберите Установить сертификат, выберите Локальный компьютер, затем Поместить все сертификаты в следующее хранилище → Доверенные корневые центры сертификации. Из командной строки с повышенными правами то же делается командой certutil -addstore -f Root mycert.crt, а certutil -delstore Root mycert.crt удаляет его обратно.
macOS Дважды щёлкните файл, чтобы добавить его в связку ключей входа, затем откройте «Связку ключей», перетащите его в Систему, дважды щёлкните, откройте Доверие и установите При использовании этого сертификата в Всегда доверять. В командной строке: sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain mycert.crt.
Debian, Ubuntu Скопируйте его в /usr/local/share/ca-certificates/mycert.crt (PEM, и имя должно заканчиваться на .crt), затем выполните sudo update-ca-certificates. Удаляется удалением файла и повторным выполнением той же команды.
RHEL, Fedora, CentOS Скопируйте его в /etc/pki/ca-trust/source/anchors/mycert.crt и выполните sudo update-ca-trust.
Firefox Firefox хранит собственное хранилище: Настройки → Приватность и безопасность → Сертификаты → Просмотр сертификатов → Центры сертификации → Импорт, затем отметьте Доверять этому ЦС для идентификации веб-сайтов.
Java-приложения Импортируйте его в хранилище доверенных JDK: keytool -importcert -alias mycert -file mycert.crt -cacerts -storepass changeit.
Что означают расширения. Базовые ограничения указывают, может ли сертификат подписывать другие сертификаты; назначение ключа ограничивает операции, которые может выполнять ключ; расширенное назначение ключа называет цели, для которых выдан сертификат, и сертификату сервера TLS нужна цель сервер TLS, иначе клиенты, которые это проверяют, его откажут. Идентификатор ключа субъекта — хеш открытого ключа, а идентификатор ключа издателя обычно называет копию издателя — у самоподписанного сертификата оба несут одно и то же значение.

Чего эта страница не делает: она не создаёт иерархию сертификатов за вас, не запускает ЦС и ничего никуда не устанавливает. За этим сертификатом нет списка отзыва: если ключ утечёт, остаются лишь средства — заменить файл везде и удалить его из каждого хранилища доверенных.

Конфиденциальность: пара ключей создаётся криптографией самого браузера, а сертификат подписывается здесь. Никакой загрузки, сервера, cookie, аналитики; страница работает с локального файла. Чтобы независимо прочитать результат, используйте декодер сертификатов.