Generador de certificados autofirmados para localhost y servidores internos

Porque en un certificado suelto hay que confiar en cada máquina, en cada navegador y de uno en uno, y Chrome ha quitado la opción de confiar de forma permanente en uno para localhost. Una CA raíz se instala una vez; después, cualquier certificado emitido desde ella se acepta al instante, incluidos los de proyectos que aún no ha creado. Es el mismo razonamiento que hay detrás de mkcert.

Es un riesgo real y merece una respuesta clara: quien tenga la clave privada de la CA puede emitir un certificado para cualquier sitio web, y una máquina que confíe en esa CA lo aceptará. Como la clave se genera en su navegador y solo usted la tiene, el riesgo es que se filtre. Guárdela en su equipo, no la meta en un repositorio compartido y no instale la CA en dispositivos que no controle. Si la clave sale, quite la CA del almacén de confianza y genere una nueva.

Tres causas habituales. Firefox tiene su propio almacén de certificados e ignora el del sistema: impórtela allí aparte. Chrome y Safari cachean decisiones sobre certificados, así que reinicie el navegador por completo. Y el certificado debe incluir exactamente el nombre que visita: localhost y 127.0.0.1 son entradas distintas, y un certificado que solo nombra una será rechazado para la otra.

Para desarrollo local los 825 días predeterminados van bien. Tenga en cuenta que macOS e iOS rechazan cualquier certificado con más de 825 días de vigencia, incluso autofirmado, así que subir más romperá Safari en dispositivos Apple. La CA se emite a diez años porque reinstalar una raíz en todos los navegadores es la parte tediosa.

No, y nada puede lograrlo. Sus visitantes no han instalado su CA, así que sus navegadores mostrarán un aviso a pantalla completa. Un sitio público necesita un certificado de una autoridad de confianza pública: Let's Encrypt los emite sin coste y los renueva automáticamente.