Générateur de certificat auto-signé et de CSR
Créez un certificat TLS X.509 auto-signé, un certificat d'AC ou une CSR avec SAN, clés RSA 2048–4096 et validité personnalisée. Sortie PEM ; la clé ne quitte pas votre appareil.
Généralement le nom d’hôte, p. ex. localhost ou www.example.com.
Noms DNS et adresses IP supplémentaires, séparés par des virgules ou des retours à la ligne. Les navigateurs vérifient ceux-ci, pas le CN.
La clé RSA est créée avec Web Crypto dans votre navigateur et ne quitte jamais votre appareil.
Qu'est-ce que Générateur de certificat SSL ?
Générez les fichiers nécessaires à TLS sans la ligne de commande OpenSSL : un certificat TLS auto-signé pour le développement local ou des services internes, un certificat d'AC auto-signé pour signer vos propres certificats, ou une demande de signature de certificat (CSR) à envoyer à une autorité de certification. Vous obtenez le certificat ou la CSR et la clé privée RSA au format PEM, ainsi que l'empreinte SHA-256.
Comment utiliser Générateur de certificat SSL
- Choisissez Que créer.
- Saisissez le Common Name (CN) et les Subject Alternative Names (noms DNS et adresses IP), ainsi que les champs facultatifs d'organisation et de localisation.
- Choisissez la Taille de clé et, pour les certificats, la Validité (jours).
- Cliquez sur Générer et téléchargez le certificat (
.crt) ou la CSR (.csr) et la clé privée (.key).
Exemple
Self-signed TLS certificate, CN localhost, SANs 127.0.0.1 and ::1, RSA 2048, 365 days
-----BEGIN CERTIFICATE----- … -----END CERTIFICATE----- Subject: CN=localhost SAN: DNS:localhost, IP:127.0.0.1, IP:::1
Quand utiliser Générateur de certificat SSL
Utilisez des certificats auto-signés pour localhost, les conteneurs de développement, les services d'intranet, les prototypes IoT et les tests de configuration TLS. Les navigateurs affichent un avertissement tant que vous ne faites pas confiance au certificat (ou à votre AC). Pour des sites publics, utilisez une AC comme Let's Encrypt : créez une CSR ici ou laissez votre serveur ou client ACME en générer une.
Comment fonctionne Générateur de certificat SSL
Une paire de clés RSA est générée avec l'API Web Crypto du navigateur (RSASSA-PKCS1-v1_5, exposant public 65537) puis importée dans node-forge. Pour les certificats, forge construit un certificat X.509 v3 avec un numéro de série positif aléatoire de 128 bits, une validité commençant une minute plus tôt pour le nombre de jours choisi, un sujet et un émetteur identiques (auto-signé), et les extensions : basicConstraints (CA vrai/faux, critique), keyUsage (digitalSignature + keyEncipherment pour les serveurs, keyCertSign + cRLSign pour les AC), extendedKeyUsage serverAuth/clientAuth, subjectKeyIdentifier et subjectAltName. Le CN est ajouté automatiquement aux SAN lorsqu'il s'agit d'un nom d'hôte ou d'une IP. Le tout est signé en SHA-256. Les CSR sont des requêtes PKCS#10 portant les SAN dans un attribut extensionRequest. Les clés sont exportées en PEM PKCS#8.
Cas d'utilisation courants
- Activer HTTPS sur localhost ou un serveur de développement
- Créer une AC privée pour un réseau interne ou un laboratoire
- Générer une CSR pour un certificat commercial
- Tester les paramètres TLS dans Nginx, Apache ou un répartiteur de charge
Note de Sécurité
Toute personne possédant la clé privée peut usurper l'identité de votre serveur. Gardez le fichier .key privé, ne le versionnez pas dans Git et ne réutilisez pas des clés de développement en production.
Questions Fréquentes
Pourquoi mon navigateur indique-t-il que le certificat n'est pas approuvé ?
Un certificat auto-signé n'est pas émis par une AC en laquelle votre système a confiance. Importez-le (ou l'AC qui l'a signé) dans le magasin de confiance de votre système ou navigateur pour supprimer l'avertissement sur vos propres machines.
Pourquoi les Subject Alternative Names sont-ils obligatoires ?
Les navigateurs modernes ignorent le Common Name et ne comparent le nom d'hôte qu'à la liste des SAN : chaque nom d'hôte et chaque IP utilisés doivent donc y figurer.
La clé privée est-elle en sécurité ?
Elle est générée dans votre navigateur et jamais envoyée. Téléchargez-la, stockez-la avec des permissions restreintes et ne la partagez jamais.
Quelle taille de clé choisir ?
RSA 2048 est le minimum courant et très compatible ; 3072 ou 4096 offrent plus de marge au prix de négociations plus lentes.