Selbstsigniertes Zertifikat erstellen

Wofür ein selbstsigniertes Zertifikat taugt

Ein selbstsigniertes Zertifikat (englisch Self-signed Certificate) ist von demselben Schlüssel unterschrieben, den es enthält: Aussteller und Subject sind identisch. Damit fehlt die Bestätigung durch eine Zertifizierungsstelle, Browser zeigen deshalb eine Warnung. Für die Entwicklung, für interne Tests und für localhost HTTPS ist ein solches Testzertifikat trotzdem die einfachste Lösung, denn viele Browserfunktionen wie Service Worker, sichere Cookies oder die Kamera-Schnittstelle verlangen HTTPS.

Dieses Werkzeug kann ein X.509 Zertifikat erzeugen (Version 3) mit allen Erweiterungen, die moderne Clients erwarten: Basic Constraints, Key Usage, Extended Key Usage für Server und Client, Subject Key Identifier und die alternativen Namen (SAN). Die Zeitangaben stehen in UTC, die Seriennummer ist zufällig. Mit dem Schalter für CA:TRUE entsteht eine kleine Test-CA, mit der Sie zum Beispiel per openssl x509 -req -CA weitere Zertifikate signieren können. Den Inhalt kontrollieren Sie mit openssl x509 -in zertifikat.pem -noout -text oder mit dem Zertifikat-Dekoder.

Grenzen: Ein selbstsigniertes Zertifikat taugt nicht für öffentlich erreichbare Dienste; dafür gibt es kostenlose Zertifikate über ACME, etwa von Let's Encrypt. Für eine dauerhafte lokale Entwicklungsumgebung lohnt sich eine eigene lokale CA, die Sie einmal im System als vertrauenswürdig hinterlegen. Behandeln Sie auch den Schlüssel eines Testzertifikats als Geheimnis und verwenden Sie ihn nicht weiter, sobald die Tests vorbei sind.