Генератор SSL-сертификатов

Всё происходит в вашем браузере

Этот генератор работает полностью в вашем браузере. Пара ключей RSA создаётся локально с помощью встроенного в браузер интерфейса Web Crypto API, сертификат подписывается на вашем устройстве, и ни закрытый ключ, ни сертификат никогда не загружаются на наш сервер. Тем не менее относитесь к закрытому ключу как к секрету: тот, у кого он есть, может выдать себя за сертификат.

Что значит самоподписанный

Вы одновременно и издатель, и субъект: сертификат подписан собственным закрытым ключом, поэтому за него не ручается никакой публичный центр сертификации (CA). Поэтому браузеры показывают предупреждение. Он подходит для тестов, локальной разработки (localhost, dev.local) и внутренних серверов, где вы можете раздать сертификат клиентам, которые должны ему доверять.

Если вам нужен сертификат, которому доверяет публичный интернет, этот инструмент не тот шаг: вам нужен сертификат, подписанный CA (например, Let’s Encrypt или платным CA), а это требует запроса на подпись сертификата (CSR) и проверки домена, которых этот браузерный инструмент не выполняет.

Что входит в сертификат

Выходные файлы

• key.pem, закрытый ключ (защитите его, режим 0600)
• cert.pem, самоподписанный сертификат (публичный, можно распространять)

Для Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Для Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

Доверие сертификату на ваших собственных машинах

Чтобы убрать предупреждение браузера на машине, которую вы контролируете, импортируйте cert.pem в хранилище доверия этой системы или браузера. Делайте это только для сертификатов, которые вы создали сами, на устройствах, которые вам принадлежат. Инструменты вроде mkcert автоматизируют локальный CA для нескольких сервисов; этот генератор создаёт по одному самоподписанному сертификату за раз.

Для чего самоподписанный сертификат не годится

• Публичные сайты. Пользователи видят предупреждение, и многие уходят.
• Интеграции со сторонними API. Большинство клиентов отклоняют неизвестных издателей.
• Продакшен. Категорически нет. Для всего в открытом интернете используйте Let’s Encrypt (бесплатно) или платный CA.