Gerador de certificado autoassinado para localhost e servidores internos

Porque num certificado solto é preciso confiar em cada máquina, em cada navegador e um de cada vez — e o Chrome removeu a opção de confiar permanentemente num certificado para localhost. Uma AC raiz é instalada uma vez; depois disso qualquer certificado emitido dela é aceito na hora, inclusive para projetos que você ainda nem criou. É o mesmo raciocínio do mkcert.

É um risco real e merece resposta clara: quem tiver a chave privada da AC pode emitir um certificado para qualquer site, e uma máquina que confia nessa AC vai aceitá-lo. Como a chave é gerada no seu navegador e só você a tem, o risco é ela vazar. Mantenha-a na sua máquina, não a coloque num repositório compartilhado e não instale a AC em dispositivos que você não controla. Se a chave vazar, remova a AC do repositório de confiança e gere outra.

Três causas comuns. O Firefox tem repositório próprio de certificados e ignora o do sistema: importe a AC lá separadamente. Chrome e Safari mantêm decisões sobre certificados em cache, então reinicie o navegador por completo. E o certificado precisa listar exatamente o nome que você acessa: localhost e 127.0.0.1 são entradas diferentes.

Para desenvolvimento local os 825 dias padrão são convenientes. Note que macOS e iOS rejeitam qualquer certificado com mais de 825 dias de vigência, mesmo autoassinado, então passar disso quebra o Safari em aparelhos Apple. A própria AC é emitida por dez anos, porque reinstalar uma raiz em todos os navegadores é a parte tediosa.

Não, e nada muda isso. Seus visitantes não instalaram sua AC, então os navegadores deles mostrarão um aviso em tela cheia. Um site público precisa de um certificado de uma autoridade de confiança pública — a Let's Encrypt emite esses sem custo e os renova automaticamente.