مولّد شهادة ذاتية التوقيع وCSR
أنشئ شهادة TLS ذاتية التوقيع بصيغة X.509 أو شهادة CA أو CSR مع SAN ومفاتيح RSA من 2048 إلى 4096 ومدة صلاحية مخصصة. ناتج PEM؛ ولا يغادر المفتاح جهازك.
عادةً اسم المضيف، مثل localhost أو www.example.com.
أسماء DNS وعناوين IP إضافية، مفصولة بفواصل أو أسطر جديدة. المتصفحات تتحقق من هذه وليس من CN.
يُنشأ مفتاح RSA عبر Web Crypto في متصفحك ولا يغادر جهازك أبدًا.
ما هو مولّد شهادات SSL؟
ولّد الملفات التي تحتاجها لـ TLS دون سطر أوامر OpenSSL: شهادة TLS موقعة ذاتيًا للتطوير المحلي أو الخدمات الداخلية، أو شهادة CA موقعة ذاتيًا لتوقيع شهاداتك الخاصة، أو طلب توقيع شهادة (CSR) ترسله إلى جهة إصدار الشهادات. تحصل على الشهادة أو CSR والمفتاح الخاص RSA بصيغة PEM، إضافةً إلى بصمة SHA-256.
كيفية استخدام مولّد شهادات SSL
- اختر ما الذي تريد إنشاءه.
- أدخل الاسم الشائع (CN) والأسماء البديلة للموضوع (SAN) (أسماء DNS وعناوين IP)، إضافةً إلى حقول المؤسسة والموقع الاختيارية.
- اختر حجم المفتاح والصلاحية (أيام) للشهادات.
- اضغط توليد ونزّل الشهادة (
.crt) أو CSR (.csr) والمفتاح الخاص (.key).
مثال
Self-signed TLS certificate, CN localhost, SANs 127.0.0.1 and ::1, RSA 2048, 365 days
-----BEGIN CERTIFICATE----- … -----END CERTIFICATE----- Subject: CN=localhost SAN: DNS:localhost, IP:127.0.0.1, IP:::1
متى تستخدم مولّد شهادات SSL
استخدم الشهادات الموقعة ذاتيًا لـ localhost وحاويات التطوير وخدمات الشبكة الداخلية ونماذج إنترنت الأشياء واختبار إعدادات TLS. تعرض المتصفحات تحذيرًا حتى تثق بالشهادة (أو جهة CA الخاصة بك). وللمواقع العامة استخدم جهة CA مثل Let's Encrypt: أنشئ CSR هنا أو دع خادمك أو عميل ACME ينشئه.
كيف يعمل مولّد شهادات SSL
يُولَّد زوج مفاتيح RSA بواجهة Web Crypto في المتصفح (RSASSA-PKCS1-v1_5 والأس العام 65537) ويُستورَد إلى node-forge. وللشهادات يبني forge شهادة X.509 v3 برقم تسلسلي موجب عشوائي من 128 بتًّا، وصلاحية تبدأ قبل دقيقة لعدد الأيام المختار، وموضوع وجهة إصدار متطابقين (توقيع ذاتي)، وامتدادات: basicConstraints (CA صحيح/خاطئ، حرجة) وkeyUsage (digitalSignature + keyEncipherment للخوادم وkeyCertSign + cRLSign لجهات CA) وextendedKeyUsage بـ serverAuth/clientAuth وsubjectKeyIdentifier وsubjectAltName. ويُضاف CN إلى SAN تلقائيًا إذا كان اسم مضيف أو IP. وتُوقَّع بـ SHA-256. وطلبات CSR هي طلبات PKCS#10 تحمل SAN في سمة extensionRequest. وتُصدَّر المفاتيح بصيغة PKCS#8 PEM.
حالات الاستخدام الشائعة
- تفعيل HTTPS على localhost أو خادم تطوير
- إنشاء CA خاصة لشبكة داخلية أو مختبر
- توليد CSR لشهادة تجارية
- اختبار إعدادات TLS في Nginx أو Apache أو موازن حمل
ملاحظة أمنية
يستطيع أي شخص يملك المفتاح الخاص انتحال خادمك. أبقِ ملف .key خاصًا ولا تودعه في Git ولا تعد استخدام مفاتيح التطوير في الإنتاج.
الأسئلة الشائعة
لماذا يقول متصفحي إن الشهادة غير موثوقة؟
الشهادة الموقعة ذاتيًا لم تصدرها جهة CA يثق بها نظامك. استوردها (أو جهة CA التي وقّعتها) إلى مخزن الثقة في نظام التشغيل أو المتصفح لإزالة التحذير على أجهزتك.
لماذا تلزم الأسماء البديلة للموضوع؟
تتجاهل المتصفحات الحديثة الاسم الشائع وتطابق اسم المضيف مع قائمة SAN فقط، لذا يجب إدراج كل اسم مضيف وIP تستخدمه هناك.
هل المفتاح الخاص آمن؟
يُولَّد في متصفحك ولا يُرسَل إلى أي مكان. نزّله وخزّنه بصلاحيات مقيّدة ولا تشاركه أبدًا.
أي حجم مفتاح أختار؟
RSA 2048 هو الحد الأدنى الشائع وواسع التوافق؛ و3072 أو 4096 يمنحان هامشًا أكبر على حساب مصافحات أبطأ.