Générateur de certificat SSL

Tout se passe dans votre navigateur

Ce générateur fonctionne entièrement dans votre navigateur. La paire de clés RSA est créée en local avec une bibliothèque cryptographique JavaScript, le certificat est signé sur votre appareil, et ni la clé privée ni le certificat ne sont jamais transmis à notre serveur. Traitez malgré tout la clé privée comme un secret : quiconque la détient peut usurper le certificat.

Ce que signifie auto-signé

Vous êtes à la fois l’émetteur et le sujet : le certificat est signé avec sa propre clé privée, aucune autorité de certification (CA) publique ne se porte donc garante. C’est pourquoi les navigateurs affichent un avertissement. Il convient aux tests, au développement local (localhost, dev.local) et aux serveurs internes où vous pouvez distribuer le certificat aux clients qui doivent lui faire confiance.

S’il vous faut un certificat auquel l’internet public fait confiance, cet outil n’est pas l’étape adéquate : il vous faut un certificat signé par une CA (par exemple Let’s Encrypt ou une CA payante), ce qui nécessite une demande de signature de certificat (CSR) et une validation de domaine que cet outil de navigateur ne réalise pas.

Ce que contient le certificat

Fichiers de sortie

• key.pem, la clé privée (protégez-la, mode 0600)
• cert.pem, le certificat auto-signé (public, distribuable)

Pour Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Pour Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

Faire confiance au certificat sur vos propres machines

Pour faire taire l’avertissement du navigateur sur une machine que vous contrôlez, importez cert.pem dans le magasin de confiance de ce système ou de ce navigateur. Ne le faites que pour des certificats que vous avez générés vous-même, sur des appareils qui vous appartiennent. Des outils comme mkcert automatisent une CA locale pour plusieurs services ; ce générateur produit un seul certificat auto-signé à la fois.

Ce à quoi un certificat auto-signé ne convient pas

• Sites web publics. Les utilisateurs voient un avertissement et beaucoup partent.
• Intégrations d’API tierces. La plupart des clients rejettent les émetteurs inconnus.
• Production. Absolument pas. Utilisez Let’s Encrypt (gratuit) ou une CA payante pour tout ce qui est sur l’internet ouvert.