Генератор Самопідписаних SSL-Сертифікатів

Free

Створюйте справжній, працюючий самопідписаний TLS-сертифікат разом із відповідним закритим ключем прямо у браузері за допомогою node-forge, з Subject Alternative Names, налаштовуваним розміром ключа та терміном дії, а також готовими до завантаження файлами .crt і .key.

Деталі сертифіката

Загальне ім'я (CN)

Subject Alternative Names (через кому)

Потрібно сучасним браузерам. Додайте кожне ім'я хоста або IP-адресу, за якою ви будете звертатися до цього сервера.

Розмір ключа

Дійсний (днів)

Додаткові поля суб'єкта

Організація (O)

Підрозділ організації (OU)

Місто / Населений пункт (L)

Область / Регіон (ST)

Код країни (C), 2 букви

Сертифікат (.crt / .pem)

Закритий ключ (.key)

Тримайте цей закритий ключ у таємниці. Будь-хто, хто його має, може видати себе за цей сертифікат.

Недавня Активність

Видно всім. Останні 20 використань серед усіх відвідувачів, найновіші спочатку.

Generated a self-signed certificate (CN: test.example.com, 2048-bit, valid 730 days)

1 годину тому

Коментарі (0)

Знайшли цей інструмент корисним? Залиште коментар, поділіться порадою, чи скажіть нам, як ми можемо покращити його.

Ще немає коментарів. Будьте першим, хто поділиться думками!

Що робить цей інструмент

Цей інструмент створює справжній, працюючий самопідписаний TLS-сертифікат і відповідний йому закритий ключ прямо у вашому браузері. Вкажіть загальне ім'я, імена хостів або IP-адреси, які має охоплювати сертифікат (Subject Alternative Names), розмір ключа та термін дії, і отримайте готову до використання пару сертифікат-ключ для локальної розробки, внутрішніх сервісів або тестування.

Як Це Працює

Генерується пара ключів RSA вибраного розміру (2048 або 4096 біти). Із ваших даних суб'єкта (загальне ім'я та необов'язкові поля організація, підрозділ, населений пункт, область і країна), вибраного вами терміну дії та випадково згенерованого серійного номера будується справжня структура сертифіката X.509, з розширеннями keyUsage, extKeyUsage та subjectAltName, встановленими так само, як це зробив би справжній орган сертифікації для сертифіката TLS-сервера. Потім сертифікат підписується власним закритим ключем за допомогою SHA-256, що й робить його «самопідписаним»: видавець і суб'єкт є однією і тією ж особою, а підпис можна перевірити за допомогою відкритого ключа самого сертифіката.

Проблеми, які це вирішує

Налаштувати роботу HTTPS на localhost або внутрішньому сервері без необхідності в справжньому органі сертифікації.
Перевірка того, як ваша програма поводиться з увімкненим TLS, перед розгортанням справжнього сертифіката.
Швидке створення сертифіката та пари ключів для контейнера Docker, віртуальної машини або внутрішнього інструменту, якому потрібне лише шифрування під час передачі.
Вивчення того, з яких полів насправді складається сертифікат X.509, заповнюючи їх напряму.

Часті запитання

›Чи показуватимуть браузери попередження «незахищено» для цього сертифіката?

Так, і це очікувано: у самопідписаного сертифіката немає ланцюжка, що веде до органу сертифікації, якому ваш браузер уже довіряє, тож браузери попереджають про це навмисно. Для локальної розробки ви зазвичай можете натиснути «продовжити» попри попередження, або імпортувати сертифікат у довірене сховище вашої ОС чи браузера, якщо хочете, щоб попередження зникло на вашому власному комп'ютері.

›Чому мені потрібно заповнювати Subject Alternative Names, хіба загального імені не достатньо?

Ні, сучасні браузери (Chrome з 2017 року та кожен великий браузер з того часу) повністю ігнорують загальне ім'я під час зіставлення імені хоста та перевіряють лише Subject Alternative Names; сертифікат без відповідного запису SAN буде відхилено, навіть якщо загальне ім'я вказано правильно, тому цей інструмент вимагає принаймні один запис SAN і попередньо заповнює localhost та 127.0.0.1.

›Який ключ вибрати: 2048 біт чи 4096 біт?

2048-бітний RSA все ще вважається безпечним у найближчому майбутньому і є тим, що майже кожен справжній орган сертифікації видає за замовчуванням; 4096 біт повільніше генерувати та використовувати під час кожного TLS-рукостискання, без практичної переваги безпеки для сертифіката локальної розробки чи тестування, тож 2048 біт є кращим варіантом за замовчуванням, якщо у вас немає конкретної причини потребувати більшого.

›Чи підходить цей сертифікат для продакшн-сайту?

Ні, самопідписаний сертифікат призначений для локальної розробки, внутрішніх інструментів або тестування; відвідувачі справжнього публічного сайту побачать попередження про безпеку, оскільки жоден браузер чи ОС не довіряє йому за замовчуванням; для продакшн-сайту використовуйте сертифікат від справжнього органу сертифікації (багато з них, наприклад Let's Encrypt, безкоштовні).

›Як цей інструмент насправді створює сертифікат?

Він створює справжню пару ключів RSA та справжню структуру сертифіката X.509 у вашому браузері за допомогою бібліотеки node-forge, скомпільованої для роботи на стороні клієнта, потім підписує сертифікат власним закритим ключем (звідси «самопідписаний») за допомогою SHA-256, що є точно таким самим криптографічним процесом, який використовував би орган сертифікації або інструмент командного рядка openssl, тільки без виходу з вашого браузера.

Перетворюйте текст на HTML-сутності та назад в обох напрямках одночасно, з десятковим або шістнадцятковим числовим форматом і таблицею швидкого довідника поширених сутностей.