Trình tạo chứng chỉ SSL

Mọi thứ diễn ra trong trình duyệt của bạn

Trình tạo này chạy hoàn toàn trong trình duyệt của bạn. Cặp khóa RSA được tạo cục bộ bằng một thư viện mật mã JavaScript, chứng chỉ được ký ngay trên thiết bị của bạn, và cả khóa riêng lẫn chứng chỉ đều không bao giờ được tải lên máy chủ của chúng tôi. Dù vậy, hãy coi khóa riêng như một bí mật: bất kỳ ai có nó đều có thể mạo danh chứng chỉ.

Tự ký nghĩa là gì

Bạn vừa là đơn vị cấp vừa là chủ thể: chứng chỉ được ký bằng chính khóa riêng của nó, nên không có tổ chức chứng thực (CA) công khai nào bảo chứng. Vì thế trình duyệt hiển thị cảnh báo. Nó phù hợp cho thử nghiệm, phát triển cục bộ (localhost, dev.local) và máy chủ nội bộ nơi bạn có thể phân phối chứng chỉ tới các máy khách cần tin cậy nó.

Nếu bạn cần một chứng chỉ mà internet công khai tin cậy, công cụ này không phải bước phù hợp: bạn cần một chứng chỉ do CA ký (ví dụ từ Let’s Encrypt hoặc một CA trả phí), điều này đòi hỏi một yêu cầu ký chứng chỉ (CSR) và xác thực tên miền mà công cụ trong trình duyệt này không thực hiện.

Chứng chỉ chứa những gì

Tệp đầu ra

• key.pem, khóa riêng (hãy bảo vệ, chế độ 0600)
• cert.pem, chứng chỉ tự ký (công khai, có thể phân phối)

Cho Nginx

server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /etc/ssl/certs/cert.pem;
    ssl_certificate_key /etc/ssl/private/key.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

Cho Apache 2.4+

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/certs/cert.pem
    SSLCertificateKeyFile /etc/ssl/private/key.pem
</VirtualHost>

Tin cậy chứng chỉ trên máy của chính bạn

Để tắt cảnh báo trình duyệt trên một máy do bạn kiểm soát, hãy nhập cert.pem vào kho tin cậy của hệ thống hoặc trình duyệt đó. Chỉ làm điều này với chứng chỉ do chính bạn tạo, trên thiết bị thuộc về bạn. Các công cụ như mkcert tự động hóa một CA cục bộ cho nhiều dịch vụ; trình tạo này tạo một chứng chỉ tự ký mỗi lần.

Chứng chỉ tự ký không phù hợp cho việc gì

• Website công khai. Người dùng thấy cảnh báo, và nhiều người rời đi.
• Tích hợp API bên thứ ba. Hầu hết máy khách từ chối đơn vị cấp lạ.
• Môi trường sản xuất. Tuyệt đối không. Dùng Let’s Encrypt (miễn phí) hoặc một CA trả phí cho mọi thứ trên internet mở.