Générateur de Certificat SSL Auto-Signé

Free

Générez un véritable certificat TLS auto-signé fonctionnel et sa clé privée correspondante directement dans votre navigateur avec node-forge, avec Subject Alternative Names, une taille de clé et une période de validité configurables, et des fichiers .crt et .key prêts à télécharger.

Détails du certificat

Nom commun (CN)

Subject Alternative Names (séparés par des virgules)

Requis par les navigateurs modernes. Ajoutez chaque nom d'hôte ou IP par lequel vous accéderez à ce serveur.

Taille de clé

Valide pendant (jours)

Champs de sujet facultatifs

Organisation (O)

Unité organisationnelle (OU)

Ville / Localité (L)

État / Province (ST)

Code pays (C), 2 lettres

Certificat (.crt / .pem)

Clé privée (.key)

Gardez cette clé privée secrète. Toute personne qui la possède peut usurper ce certificat.

Activité récente

Visible par tous. Les 20 dernières utilisations de tous les visiteurs, les plus récentes en premier.

Generated a self-signed certificate (CN: test.example.com, 2048-bit, valid 730 days)

il y a 1 heure

Commentaires (0)

Cet outil vous a-t-il été utile ? Laissez un commentaire, partagez une astuce, ou dites-nous comment nous pourrions l'améliorer.

Pas encore de commentaires. Soyez le premier à partager votre avis !

Ce que fait cet outil

Cet outil génère un véritable certificat TLS auto-signé fonctionnel et sa clé privée correspondante, directement dans votre navigateur. Renseignez un nom commun, les noms d'hôte ou les IP que le certificat doit couvrir (Subject Alternative Names), une taille de clé et une période de validité, et obtenez un certificat et une paire de clés prêts à l'emploi pour le développement local, les services internes ou les tests.

Comment ça marche

Une paire de clés RSA est générée à la taille choisie (2048 ou 4096 bits). Une véritable structure de certificat X.509 est construite à partir de vos informations de sujet (nom commun et les champs facultatifs Organisation, Unité, Localité, État et Pays), de votre période de validité choisie et d'un numéro de série généré aléatoirement, avec les extensions keyUsage, extKeyUsage et subjectAltName définies comme le ferait une véritable autorité de certification pour un certificat de serveur TLS. Le certificat est ensuite signé avec sa propre clé privée via SHA-256, ce qui le rend "auto-signé" : l'émetteur et le sujet sont la même entité, et la signature peut être vérifiée avec la clé publique du certificat lui-même.

Problèmes résolus

Faire fonctionner HTTPS sur localhost ou un serveur interne sans avoir besoin d'une véritable autorité de certification.
Tester comment votre application se comporte avec TLS activé avant de déployer un vrai certificat.
Produire rapidement un certificat et une paire de clés pour un conteneur Docker, une VM ou un outil interne qui n'a besoin que du chiffrement en transit.
Apprendre quels champs composent réellement un certificat X.509 en les remplissant directement.

Questions fréquentes

›Les navigateurs afficheront-ils un avertissement "non sécurisé" pour ce certificat ?

Oui, et c'est normal : un certificat auto-signé n'a pas de chaîne remontant à une autorité de certification à laquelle votre navigateur fait déjà confiance, donc les navigateurs avertissent à ce sujet par conception. Vous pouvez généralement passer l'avertissement pour le développement local, ou importer le certificat dans le magasin de confiance de votre système ou navigateur si vous voulez que l'avertissement disparaisse sur votre propre machine.

›Pourquoi dois-je remplir les Subject Alternative Names, le nom commun ne suffit-il pas ?

Non, les navigateurs modernes (Chrome depuis 2017, et tous les navigateurs majeurs depuis) ignorent totalement le nom commun pour la vérification du nom d'hôte et ne vérifient que les Subject Alternative Names ; un certificat sans entrée SAN correspondante sera rejeté même si le nom commun est correct, c'est pourquoi cet outil exige au moins une entrée SAN et pré-remplit localhost et 127.0.0.1.

›Dois-je choisir une clé de 2048 bits ou de 4096 bits ?

Le RSA 2048 bits est encore considéré comme sûr dans un avenir prévisible et c'est ce que presque toutes les véritables autorités de certification délivrent par défaut ; le 4096 bits est plus lent à générer et à utiliser à chaque négociation TLS, sans avantage de sécurité pratique pour un certificat de développement local ou de test, donc 2048 bits est le meilleur choix par défaut à moins d'avoir une raison précise d'en vouloir davantage.

›Ce certificat convient-il à un site web de production ?

Non, un certificat auto-signé est destiné au développement local, aux outils internes ou aux tests ; les visiteurs d'un vrai site public verront un avertissement de sécurité car aucun navigateur ou système d'exploitation ne lui fait confiance par défaut ; pour un site de production, utilisez un certificat d'une véritable autorité de certification (dont beaucoup, comme Let's Encrypt, sont gratuites).

›Comment cet outil construit-il réellement le certificat ?

Il génère une véritable paire de clés RSA et une véritable structure de certificat X.509 dans votre navigateur à l'aide de la bibliothèque node-forge, compilée pour s'exécuter côté client, puis signe le certificat avec sa propre clé privée (d'où "auto-signé") via SHA-256, exactement le même processus cryptographique qu'utiliserait une autorité de certification ou l'outil en ligne de commande openssl, sans jamais quitter votre navigateur.

Convertissez du texte vers et depuis des entités HTML dans les deux sens à la fois, avec des formats numériques décimaux ou hexadécimaux et un tableau de référence rapide des entités courantes.