Pembuat sertifikat tanda tangan sendiri untuk localhost dan server internal

Karena sertifikat tunggal harus dipercayai di tiap mesin, di tiap peramban, satu per satu — dan Chrome sudah menghapus pilihan memercayainya secara permanen untuk localhost. CA akar dipasang sekali; setelah itu sertifikat apa pun yang Anda terbitkan darinya langsung diterima, termasuk untuk proyek yang belum Anda buat. Ini pula alasan di balik mkcert.

Ini risiko nyata yang layak dijawab lugas: siapa pun yang memegang kunci privat CA bisa menerbitkan sertifikat untuk situs web mana pun, dan mesin yang memercayai CA itu akan menerimanya. Karena kuncinya dibangkitkan di peramban Anda dan hanya Anda yang memilikinya, risikonya adalah kunci itu bocor. Simpan di mesin sendiri, jangan taruh di repositori bersama, dan jangan memasang CA pada perangkat yang tidak Anda kendalikan. Bila kunci bocor: hapus CA dari penyimpanan kepercayaan dan buat yang baru.

Tiga sebab lazim. Firefox punya penyimpanan sertifikat sendiri dan mengabaikan milik sistem — impor CA-nya di sana secara terpisah. Chrome dan Safari menyimpan keputusan sertifikat, jadi tutup dan buka ulang peramban sepenuhnya. Dan sertifikatnya harus memuat persis nama yang Anda kunjungi: localhost dan 127.0.0.1 adalah entri berbeda.

Untuk pengembangan lokal, bawaan 825 hari sudah nyaman. Perhatikan bahwa macOS dan iOS menolak sertifikat apa pun yang berlaku lebih dari 825 hari, bahkan yang tanda tangan sendiri, jadi melebihi itu akan merusak Safari di perangkat Apple. CA-nya sendiri diterbitkan sepuluh tahun, karena memasang ulang akar di semua peramban adalah bagian yang paling merepotkan.

Tidak, dan tidak ada yang bisa mengubahnya. Pengunjung Anda tidak memasang CA Anda, sehingga peramban mereka akan menampilkan peringatan satu layar penuh. Situs publik memerlukan sertifikat dari otoritas tepercaya publik — Let's Encrypt menerbitkannya tanpa biaya dan memperpanjangnya otomatis.