自己署名SSL証明書ジェネレーター

はい、それは想定された動作です。自己署名証明書には、ブラウザが既に信頼している認証機関への連鎖がないため、ブラウザは意図的にこれについて警告します。ローカル開発の場合は、通常警告をクリックして進むことができます。または、自分のマシンで警告を表示させたくない場合は、証明書をOSやブラウザの信頼されたストアにインポートすることもできます。

いいえ、現代のブラウザ（2017年以降のChrome、そしてそれ以降のすべての主要ブラウザ）は、ホスト名の照合においてコモンネームを完全に無視し、Subject Alternative Namesのみを確認します。コモンネームが正しくても、一致するSANエントリがない証明書は拒否されます。そのため、このツールは少なくとも1つのSANエントリを要求し、localhostと127.0.0.1を事前に入力します。

2048ビットRSAは今後も安全と見なされ、ほぼすべての実際の認証機関がデフォルトで発行しているビット数です。4096ビットは生成にも、TLSハンドシェイクのたびに使用するにも時間がかかり、ローカル開発用やテスト用の証明書に実用的なセキュリティ上の利点はないため、より多くのビット数が必要な特定の理由がない限り、2048ビットがより適したデフォルトです。

いいえ、自己署名証明書はローカル開発、内部ツール、またはテスト用のものです。実際の公開サイトの訪問者は、ブラウザやOSがデフォルトでそれを信頼していないため、セキュリティ警告を見ることになります。本番サイトには、実際の認証機関（多くは、Let's Encryptのように無料です）が発行する証明書を使用してください。

node-forgeライブラリ（クライアントサイドで実行できるようコンパイルされたもの）を使用して、ブラウザ内で実際のRSA鍵ペアと実際のX.509証明書構造を生成し、その後SHA-256を使って証明書自身の秘密鍵で署名します（これが「自己署名」と呼ばれる理由です）。これは認証機関やopensslコマンドラインツールが使用するのと全く同じ暗号処理であり、ブラウザから一切出ることなく行われます。