SSL-Zertifikat-Generator

Alles geschieht in Ihrem Browser

Dieser Generator läuft vollständig in Ihrem Browser. Das RSA-Schlüsselpaar wird lokal mit einer JavaScript-Krypto-Bibliothek erzeugt, das Zertifikat wird auf Ihrem Gerät signiert, und weder der private Schlüssel noch das Zertifikat werden jemals an unseren Server hochgeladen. Behandeln Sie den privaten Schlüssel dennoch als Geheimnis: Wer ihn besitzt, kann das Zertifikat missbrauchen.

Was selbstsigniert bedeutet

Sie sind zugleich Aussteller und Subject: Das Zertifikat wird mit dem eigenen privaten Schlüssel signiert, sodass keine öffentliche Zertifizierungsstelle (CA) für es bürgt. Deshalb zeigen Browser eine Warnung. Es eignet sich für Tests, lokale Entwicklung (localhost, dev.local) und interne Server, auf denen Sie das Zertifikat an die Clients verteilen können, die ihm vertrauen sollen.

Wenn Sie ein Zertifikat brauchen, dem das öffentliche Internet vertraut, ist dieses Tool nicht der richtige Schritt: Sie benötigen ein CA-signiertes Zertifikat (etwa von Let’s Encrypt oder einer kostenpflichtigen CA), was eine Zertifikatssignieranforderung (CSR) und eine Domain-Validierung erfordert, die dieses Browser-Tool nicht durchführt.

Was im Zertifikat steht

Ausgabedateien

• key.pem, der private Schlüssel (schützen, Modus 0600)
• cert.pem, das selbstsignierte Zertifikat (öffentlich, verteilbar)

Für Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Für Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

Dem Zertifikat auf eigenen Rechnern vertrauen

Um die Browser-Warnung auf einem Rechner, den Sie kontrollieren, verstummen zu lassen, importieren Sie cert.pem in den Vertrauensspeicher dieses Systems oder Browsers. Tun Sie das nur für Zertifikate, die Sie selbst erzeugt haben, auf Geräten, die Ihnen gehören. Werkzeuge wie mkcert automatisieren eine lokale CA für mehrere Dienste; dieser Generator erzeugt jeweils ein einzelnes selbstsigniertes Zertifikat.

Wofür selbstsigniert nicht taugt

• Öffentliche Websites. Nutzer sehen eine Warnung, und viele springen ab.
• Integrationen mit Drittanbieter-APIs. Die meisten Clients lehnen unbekannte Aussteller ab.
• Produktion. Auf keinen Fall. Verwenden Sie Let’s Encrypt (kostenlos) oder eine kostenpflichtige CA für alles im offenen Internet.