Generator für selbstsignierte Zertifikate für localhost und interne Server

Ein Online-Werkzeug für selbstsignierte Zertifikate für localhost, einen Entwicklungsrechner oder einen internen Server. Es kann eine kleine Zertifizierungsstelle aufbauen und das Serverzertifikat daraus ausstellen — genau diese Anordnung lässt die Browserwarnung wirklich verschwinden: Sie installieren die CA einmal, und jedes daraus ausgestellte Zertifikat wird danach akzeptiert. Alles entsteht über die WebCrypto-API in Ihrem Browser.

So geht es

1
Modus wählen

Lokale CA plus Zertifikat, wenn Sie die Browserwarnung loswerden wollen. Ein einzelnes selbstsigniertes Zertifikat genügt für einen schnellen Test oder einen API-Client ohne Prüfung.

2
Namen auflisten

Jeden Hostnamen und jede IP, die Sie in die Adressleiste tippen werden. localhost und 127.0.0.1 sind verschiedene Namen — nehmen Sie beide auf.

3
CA installieren

Nur im CA-Modus und nur einmal pro Maschine. Die Anleitung für Ihre Plattform steht unter dem CA-Zertifikat.

4
Server auf die Dateien zeigen lassen

Zertifikat und Schlüssel speichern, dann den nginx- oder Apache-Ausschnitt darunter übernehmen.

Erzeugen Sie mit einem Klick ein HTTPS-Zertifikat für die lokale Entwicklung

Einer pro Zeile. IP-Adressen werden automatisch erkannt und als IP-Einträge ins SAN geschrieben — genau das brauchen Browser, um https://127.0.0.1 zu akzeptieren.

Funktionen

Lokale CA statt eines einzelnen Zertifikats
Einem einzelnen selbstsignierten Zertifikat muss man einzeln vertrauen, und Chrome bietet das für localhost gar nicht mehr an. Eine Wurzel-CA wird einmal installiert und deckt jedes künftige Zertifikat ab — derselbe Ansatz wie bei mkcert.
IP-Adressen korrekt behandelt
Tippen Sie 127.0.0.1 oder ::1, und es wird ein IP-Eintrag im SAN, kein DNS-Name. Browser verlangen diese Unterscheidung, und ihr Fehlen ist der Grund, warum https://127.0.0.1 selbst mit einem passend benannten Zertifikat scheitert.
Fertige Serverkonfiguration
Ausschnitte für nginx und Apache mit den richtigen Direktiven und Dateinamen, dazu eine kombinierte Zertifikatsdatei in der Reihenfolge, die diese Server erwarten.
Installationsanleitungen für sechs Plattformen
macOS, Windows, Linux, Firefox (mit eigenem Speicher), Android (wo Benutzer-CAs seit Version 7 nicht mehr für Apps gelten) und Node.js/curl.
Eine Stunde rückdatiert
Das Zertifikat wird eine Stunde vor seiner Erstellung gültig, damit eine Maschine mit leicht nachgehender Uhr ein sekundenaltes Zertifikat nicht ablehnt.
ECDSA oder RSA
Standardmäßig ECDSA P-256 für schnelle Handshakes, RSA 2048 oder 4096, wenn etwas in der Kette es braucht.

Häufige Fragen

Warum eine CA statt eines selbstsignierten Zertifikats?

Weil einem einzelnen selbstsignierten Zertifikat auf jeder Maschine, in jedem Browser und einzeln vertraut werden muss — und Chrome die Möglichkeit, einem solchen Zertifikat für localhost dauerhaft zu vertrauen, entfernt hat. Eine Wurzel-CA wird einmal installiert; danach wird jedes daraus ausgestellte Zertifikat sofort akzeptiert, auch für Projekte, die es noch gar nicht gibt. Genau so argumentiert auch mkcert.

Ist es sicher, eine CA auf meinem Rechner zu installieren?

Das ist ein echtes Risiko und verdient eine klare Antwort: Wer den privaten CA-Schlüssel hat, kann ein Zertifikat für jede beliebige Website ausstellen, und eine Maschine, die dieser CA vertraut, akzeptiert es. Da der Schlüssel in Ihrem Browser entsteht und nur Sie ihn haben, besteht das Risiko darin, dass er abfließt. Behalten Sie ihn lokal, legen Sie ihn nicht in ein gemeinsames Repository und installieren Sie die CA nicht auf fremden Geräten. Ist er doch entwichen: CA aus dem Vertrauensspeicher entfernen und eine neue erzeugen.

Der Browser warnt trotz installierter CA weiter.

Drei übliche Ursachen. Firefox hat einen eigenen Zertifikatsspeicher und ignoriert den des Systems — importieren Sie die CA dort separat. Chrome und Safari speichern Zertifikatsentscheidungen zwischen, starten Sie den Browser vollständig neu. Und das Zertifikat muss genau den Namen führen, den Sie aufrufen: localhost und 127.0.0.1 sind verschiedene Einträge.

Wie lange sollte das Zertifikat gültig sein?

Für lokale Entwicklung sind die voreingestellten 825 Tage praktisch. Beachten Sie, dass macOS und iOS jedes Zertifikat mit mehr als 825 Tagen Laufzeit ablehnen, auch ein selbstsigniertes — mehr bricht also Safari auf Apple-Geräten. Die CA selbst wird auf zehn Jahre ausgestellt, weil das Neuinstallieren einer Wurzel in allen Browsern der lästige Teil ist.

Funktioniert das für eine öffentliche Website?

Nein, und daran lässt sich nichts ändern. Ihre Besucher haben Ihre CA nicht installiert, ihre Browser zeigen also eine bildschirmfüllende Warnung. Eine öffentliche Seite braucht ein Zertifikat einer öffentlich vertrauenswürdigen Stelle — Let's Encrypt stellt solche ohne Entgelt aus und erneuert sie automatisch.

Das könnte Ihnen auch gefallen

📝 CSR-Generator 🧰 Let’s-Encrypt-Fehlersuche 🔐 SSL-Checker 📜 SSL-Zertifikat-Decoder 🔗 Schlüssel-Zertifikat-Abgleich 🔄 Zertifikatsformat-Konverter ⛓️ Zertifikatsketten-Reparatur

Wie bewerten Sie dieses Tool?

Danke für Ihre Bewertung!
Möchten Sie mehr sagen? Hinterlassen Sie einen Kommentar!
Danke! Ihr Kommentar erscheint nach der Moderation.
Für wen ist dieses Tool gedacht?
💻 Entwicklerinnen & IT-Profis 🔒 Sicherheit & Privatsphäre
Veröffentlicht Aktualisiert Autor: