مولد شهادة SSL موقعة ذاتيًا

نعم، وهذا متوقع: الشهادة الموقعة ذاتيًا لا تمتلك سلسلة تعود إلى هيئة إصدار شهادات يثق بها متصفحك بالفعل، لذا تحذّر المتصفحات من ذلك عمدًا. يمكنك عادةً تجاوز التحذير للتطوير المحلي، أو استيراد الشهادة إلى مخزن الثقة في نظام تشغيلك أو متصفحك إذا كنت تريد أن يختفي التحذير على جهازك الخاص.

لا، تتجاهل المتصفحات الحديثة (Chrome منذ عام 2017، وكل متصفح رئيسي منذ ذلك الحين) الاسم العام تمامًا عند مطابقة اسم المضيف وتتحقق فقط من Subject Alternative Names؛ سيتم رفض الشهادة التي لا تحتوي على إدخال SAN مطابق حتى لو كان الاسم العام صحيحًا، ولهذا تتطلب هذه الأداة إدخال SAN واحدًا على الأقل وتعبئ مسبقًا localhost و127.0.0.1.

لا يزال RSA بحجم 2048 بت يُعتبر آمنًا في المستقبل المنظور، وهو ما تصدره تقريبًا كل هيئة إصدار شهادات حقيقية بشكل افتراضي؛ بينما يستغرق حجم 4096 بت وقتًا أطول لإنشائه واستخدامه في كل مصافحة TLS، دون أي فائدة أمنية عملية لشهادة تطوير محلي أو اختبار، لذا فإن 2048 بت هو الخيار الافتراضي الأفضل ما لم يكن لديك سبب محدد يتطلب المزيد.

لا، الشهادة الموقعة ذاتيًا مخصصة للتطوير المحلي أو الأدوات الداخلية أو الاختبار؛ سيرى زوار موقع عام حقيقي تحذيرًا أمنيًا لأن أي متصفح أو نظام تشغيل لا يثق بها افتراضيًا؛ بالنسبة لموقع إنتاج، استخدم شهادة من هيئة إصدار شهادات حقيقية (كثير منها، مثل Let's Encrypt، مجانية).

تُنشئ زوج مفاتيح RSA حقيقيًا وبنية شهادة X.509 حقيقية في متصفحك باستخدام مكتبة node-forge، المُجمَّعة للعمل من جانب العميل، ثم توقّع الشهادة بمفتاحها الخاص (ومن هنا "موقعة ذاتيًا") باستخدام SHA-256، وهي نفس العملية التشفيرية بالضبط التي ستستخدمها هيئة إصدار شهادات أو أداة سطر الأوامر openssl، فقط دون مغادرة متصفحك مطلقًا.