SSL-certificaatgenerator

Alles gebeurt in je browser

Deze generator draait volledig in je browser. Het RSA-sleutelpaar wordt lokaal aangemaakt met een JavaScript-cryptobibliotheek, het certificaat wordt op je apparaat ondertekend, en noch de privésleutel noch het certificaat wordt ooit naar onze server geüpload. Behandel de privésleutel toch als een geheim: wie hem heeft, kan zich als het certificaat voordoen.

Wat zelfondertekend betekent

Je bent tegelijk de uitgever en het onderwerp: het certificaat is ondertekend met zijn eigen privésleutel, dus geen enkele openbare certificeringsinstantie (CA) staat ervoor in. Daarom tonen browsers een waarschuwing. Het is geschikt voor tests, lokale ontwikkeling (localhost, dev.local) en interne servers waar je het certificaat kunt verspreiden onder de clients die het moeten vertrouwen.

Heb je een certificaat nodig dat het openbare internet vertrouwt, dan is deze tool niet de juiste stap: je hebt een CA-ondertekend certificaat nodig (bijvoorbeeld van Let’s Encrypt of een betaalde CA), wat een certificaatondertekeningsverzoek (CSR) en domeinvalidatie vereist die deze browsertool niet uitvoert.

Wat in het certificaat staat

Uitvoerbestanden

• key.pem, de privésleutel (beveilig deze, modus 0600)
• cert.pem, het zelfondertekende certificaat (openbaar, verspreidbaar)

Voor Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Voor Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

Het certificaat vertrouwen op je eigen machines

Wil je de browserwaarschuwing op een machine die je beheert het zwijgen opleggen, importeer dan cert.pem in het vertrouwensarchief van dat systeem of die browser. Doe dit alleen voor certificaten die je zelf hebt gegenereerd, op apparaten die van jou zijn. Tools als mkcert automatiseren een lokale CA voor meerdere diensten; deze generator maakt telkens één zelfondertekend certificaat.

Waarvoor zelfondertekend niet geschikt is

• Openbare websites. Gebruikers zien een waarschuwing en velen haken af.
• Integraties met API’s van derden. De meeste clients weigeren onbekende uitgevers.
• Productie. Absoluut niet. Gebruik Let’s Encrypt (gratis) of een betaalde CA voor alles op het open internet.