SSL証明書ジェネレーター

すべてはブラウザ内で行われます

このジェネレーターは完全にブラウザ内で動作します。RSA鍵ペアはブラウザに組み込まれたWeb Crypto APIでローカルに作成され、証明書はお使いのデバイス上で署名されます。秘密鍵も証明書も当社のサーバーにアップロードされることはありません。とはいえ秘密鍵は秘密として扱ってください。所持する者は誰でもその証明書になりすませます。

自己署名とは何か

あなたが発行者であると同時にサブジェクトでもあります。証明書は自身の秘密鍵で署名されるため、公的な認証局(CA)がその正当性を保証しません。だからブラウザは警告を表示します。テスト、ローカル開発(localhost、dev.local)、および信頼させたいクライアントに証明書を配布できる内部サーバーには適しています。

公開インターネットが信頼する証明書が必要な場合、このツールは適切な手段ではありません。CAが署名した証明書(たとえばLet’s Encryptや有料CA)が必要で、それには証明書署名要求(CSR)とドメイン検証が必要ですが、このブラウザ用ツールはそれらを行いません。

証明書に含まれる内容

出力ファイル

• key.pem、秘密鍵(保護してください、パーミッション0600)
• cert.pem、自己署名証明書(公開・配布可)

Nginxの場合

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Apache 2.4以降の場合

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

自分のマシンで証明書を信頼させる

自分が管理するマシンでブラウザの警告を消すには、cert.pemをそのシステムまたはブラウザの信頼ストアにインポートします。これは自分で生成した証明書に限り、自分が所有するデバイスでのみ行ってください。mkcertのようなツールは複数サービス向けのローカルCAを自動化します。このジェネレーターは一度に1つの自己署名証明書を生成します。

自己署名が適さない用途

• 公開ウェブサイト。 ユーザーは警告を目にし、多くが離脱します。
• サードパーティAPIとの連携。 ほとんどのクライアントは未知の発行者を拒否します。
• 本番環境。 絶対に不可。公開インターネット上のものにはLet’s Encrypt(無料)か有料CAを使ってください。