Generator für selbstsignierte Zertifikate
Selbstsigniertes X.509-Zertifikat samt privatem Schlüssel mit SANs, Laufzeit, CA-Flag und Key Usages erzeugen. Mit SHA-256-Fingerabdruck. Lokal.
🔒 Läuft vollständig in Ihrem Browser — nichts wird hochgeladenEin selbstsigniertes Zertifikat in Sekunden erstellen
Ein selbstsigniertes Zertifikat ist ein X.509-Zertifikat, das mit dem eigenen privaten Schlüssel statt von einer Zertifizierungsstelle signiert wird. Es eignet sich ideal für lokale HTTPS-Entwicklung, interne Dashboards, Testumgebungen, IoT-Geräte und Labornetze. Dieser Generator erzeugt das Schlüsselpaar mit der Web-Crypto-API Ihres Browsers, baut das Zertifikat mit @peculiar/x509 und gibt beides als PEM-Dateien aus – im selben Format wie openssl req -x509. Außerdem dekodiert er das Ergebnis und zeigt Subject, Seriennummer, Gültigkeitsdaten, Erweiterungen und den SHA-256-Fingerabdruck an, damit Sie genau prüfen können, was Sie erstellt haben. Nichts wird an einen Server gesendet.
Die richtigen Optionen wählen
Browser gleichen Hostnamen nur mit den Subject Alternative Names ab. Fügen Sie also jeden Namen hinzu, den Sie in die Adressleiste eingeben, zum Beispiel localhost, 127.0.0.1 und ::1. ECDSA-P-256-Schlüssel sind klein und schnell und funktionieren in jeder modernen Software; wählen Sie RSA 2048 oder 4096, wenn ein älteres System es verlangt. Halten Sie die Laufzeit von Entwicklungszertifikaten kurz, da viele Clients Endzertifikate mit mehr als etwa 398 Tagen Gültigkeit ablehnen. Lassen Sie die CA-Option für ein Serverzertifikat aus. Aktivieren Sie sie nur, wenn Sie eine private Root-CA möchten, die andere Zertifikate signiert; dann werden die Key Usages keyCertSign und cRLSign automatisch hinzugefügt.
Tipps zu Vertrauen und Sicherheit
Da keine öffentliche Stelle für das Zertifikat bürgt, zeigen Browser eine Warnung, bis Sie es in den Zertifikatsspeicher des Betriebssystems oder Browsers importieren. Vertrauen Sie nur Zertifikaten, die Sie selbst erzeugt haben, und vergleichen Sie beim Installieren auf einem anderen Rechner den SHA-256-Fingerabdruck. Der private Schlüssel liegt als unverschlüsseltes PEM vor: Speichern Sie ihn mit restriktiven Dateirechten, committen Sie ihn nie in die Versionsverwaltung und erzeugen Sie lieber ein neues Schlüsselpaar, statt eines über Projekte hinweg wiederzuverwenden. Für öffentliche Websites verwenden Sie stattdessen ein Zertifikat einer vertrauenswürdigen CA wie Let's Encrypt.
So verwenden Sie
- Subject und SANs eingebenLegen Sie den Common Name fest und listen Sie jeden Hostnamen und jede IP-Adresse auf, zu der das Zertifikat passen muss.
- Optionen wählenWählen Sie Schlüsseltyp, Gültigkeitsdauer, CA-Flag und Key Usages für Ihren Anwendungsfall.
- Erzeugen und speichernLaden Sie Zertifikat und privaten Schlüssel als PEM herunter und vergleichen Sie den SHA-256-Fingerabdruck dort, wo Sie sie installieren.