Générateur de certificat auto-signé pour localhost et serveurs internes

Parce qu'un certificat isolé doit être approuvé sur chaque machine, dans chaque navigateur et un par un — et Chrome a supprimé la possibilité d'en approuver un durablement pour localhost. Une AC racine s'installe une fois ; ensuite, tout certificat qui en est issu est accepté immédiatement, y compris pour des projets que vous n'avez pas encore créés. C'est le raisonnement de mkcert.

C'est un risque réel qui mérite une réponse nette : quiconque détient la clé privée de l'AC peut émettre un certificat pour n'importe quel site web, et une machine qui fait confiance à cette AC l'acceptera. Comme la clé est générée dans votre navigateur et que vous seul la possédez, le risque est qu'elle fuite. Gardez-la sur votre poste, ne la mettez pas dans un dépôt partagé et n'installez pas l'AC sur des appareils que vous ne maîtrisez pas. Si elle fuite : retirez l'AC du magasin de confiance et générez-en une nouvelle.

Trois causes habituelles. Firefox possède son propre magasin de certificats et ignore celui du système : importez-y l'AC séparément. Chrome et Safari mettent en cache les décisions relatives aux certificats : redémarrez complètement le navigateur. Enfin, le certificat doit porter exactement le nom que vous visitez : localhost et 127.0.0.1 sont des entrées distinctes.

Pour du développement local, les 825 jours proposés conviennent. Notez que macOS et iOS rejettent tout certificat d'une validité supérieure à 825 jours, même auto-signé : aller au-delà cassera Safari sur les appareils Apple. L'AC elle-même est émise pour dix ans, car réinstaller une racine dans tous les navigateurs est la partie fastidieuse.

Non, et rien ne peut y changer. Vos visiteurs n'ont pas installé votre AC : leurs navigateurs afficheront un avertissement en pleine page. Un site public a besoin d'un certificat émis par une autorité de confiance publique — Let's Encrypt en délivre sans frais et les renouvelle automatiquement.