SSL 证书生成器

一切都在你的浏览器中进行

此生成器完全在你的浏览器中运行。RSA 密钥对由 JavaScript 加密库在本地生成，证书在你的设备上签名，私钥和证书都不会上传到我们的服务器。即便如此，也请把私钥当作机密：任何持有它的人都能冒充该证书。

自签名意味着什么

你既是颁发者也是主题：证书由其自身的私钥签名，因此没有任何公共证书颁发机构（CA）为它背书。这正是浏览器显示警告的原因。它适合测试、本地开发（localhost、dev.local），以及你能把证书分发给需要信任它的客户端的内部服务器。

如果你需要一张公共互联网所信任的证书，此工具并非合适的步骤：你需要一张由 CA 签名的证书（例如 Let’s Encrypt 或付费 CA），这需要一份证书签名请求（CSR）和域名验证，而这款浏览器工具并不执行它们。

证书中包含的内容

输出文件

• key.pem，私钥（请保护它，权限 0600）
• cert.pem，自签名证书（公开，可分发）

用于 Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

用于 Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

在你自己的机器上信任该证书

要在你所掌控的机器上消除浏览器警告，请把 cert.pem 导入该系统或浏览器的信任存储。只对你自己生成的证书、在你拥有的设备上这样做。像 mkcert 这样的工具会为多个服务自动搭建本地 CA；而此生成器每次只生成一张自签名证书。

自签名证书不适合的用途

• 公开网站。 用户会看到警告，许多人会离开。
• 第三方 API 集成。 大多数客户端会拒绝未知的颁发者。
• 生产环境。 绝对不行。对开放互联网上的任何东西，请使用 Let’s Encrypt（免费）或付费 CA。