Generator Certificate SSL
🔒 Rulează în browser
Importă spațiul de lucru
Importă un CA existent
Salvați spațiul de lucru
Această parolă criptează fișierul spațiului de lucru (.acpki) — singura copie a cheii private a CA-ului. Veți avea nevoie de ea pentru a redeschide spațiul de lucru. NU este parola pentru certificatele exportate sau arhivele zip.
Criptează fișierul .acpki, care conține cheia privată a CA-ului. Minim 12 caractere. Nu există recuperare dacă o pierdeți — păstrați-o în siguranță.
| Nume | Subiect / CN | SAN-uri | Expirare |
|---|
Reînnoiește un certificat existent
Lipiți sau trageți un certificat vechi pentru a precompleta acest formular cu subiectul și SAN-urile lui, apoi apăsați Emite pentru a-l re-semna cu CA-ul curent.
Verificări opționale
Lipiți o cheie privată pentru a confirma că se potrivește cu acest certificat, sau trageți/lipiți rădăcina CA pentru a confirma că certificatul se leagă de ea.
Verificări
Export
Cum instalați aceste certificate
Instalați doar o rădăcină CA pe care ați generat-o chiar dumneavoastră, pe o mașină pe care o controlați. Instalarea unei rădăcini CA primite de la altcineva îi permite acelei persoane să intercepteze tot traficul dumneavoastră criptat — nu rulați niciodată aceste comenzi de încredere pe un certificat pe care nu l-ați creat.
Acordați încredere rădăcinii CA
Windows: rulați comanda certutil de mai jos dintr-un prompt cu drepturi de
administrator, sau importați prin certlm.msc.
certutil -addstore Root rootCA.crt
macOS: rulați comanda security de mai jos din Terminal, sau importați prin
Keychain Access și setați certificatul pe "Always Trust".
security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain rootCA.pem
Linux: copiați certificatul în ancorele de încredere ale sistemului și reîmprospătați
pachetul CA (sau folosiți trust anchor pe distribuțiile cu p11-kit).
sudo cp rootCA.pem /usr/local/share/ca-certificates/rootCA.crt
sudo update-ca-certificatesChrome și Edge citesc magazinul de încredere al sistemului de operare, deci pașii de mai sus îi acoperă și pe ei. Firefox are propriul magazin de certificate, separat — faptul că ați acordat încredere CA-ului în Windows, macOS sau Linux nu înseamnă că Firefox va avea încredere în el. Importați-l din Settings → Privacy & Security → Certificates → View Certificates → Authorities → Import și bifați "Trust this CA to identify websites".
Instalați certificatul de server
nginx: indicați ambele directive către fișierele exportate.
ssl_certificate <nume>-fullchain.pem;
ssl_certificate_key <nume>.key;Apache: folosiți împreună fișierul de certificat, cheie și lanț.
SSLCertificateFile <nume>.crt
SSLCertificateKeyFile <nume>.key
SSLCertificateChainFile chain.pem
IIS: importați direct fișierul .pfx exportat, prin magazinul de certificate din
IIS Manager — acesta include deja certificatul, lanțul și cheia privată, protejate de parola
de export.
O notă despre utilizarea în producție
Certificatele emise aici sunt criptografic reale, dar au încredere doar privată — nimic în afara mașinilor pe care instalați rădăcina CA nu le va accepta, deci nu sunt potrivite pentru site-uri publice, expuse pe internet. Nu există niciun mecanism de revocare, așa că păstrați certificatele finale cu valabilitate scurtă și reînnoiți-le, iar cheia privată a CA rămâne doar un fișier protejat de parola dumneavoastră, nu o cheie protejată hardware. Acest instrument este potrivit pentru laborator, dezvoltare, staging și servicii interne pe care le controlați integral; pentru sisteme critice pentru afacere, la nivel de organizație sau reglementate, folosiți o platformă PKI dedicată, cu revocare și chei protejate hardware.
Întrebări frecvente
Certificatele și cheile sunt generate în browserul meu?
Da. Perechile de chei RSA și fiecare certificat sunt generate local, cu Web Crypto API și node-forge. Nicio cheie, certificat sau parolă nu este trimisă vreodată către un server — acest instrument nu are niciun backend.
Ce este un SAN și de ce contează?
Un Subject Alternative Name listează exact numele de gazdă și adresele IP pentru care este valabil certificatul. Browserele moderne ignoră vechiul Common Name și au încredere doar în SAN, deci un certificat de server trebuie să conțină în SAN fiecare nume pe care îl servește.
Cum fac ca dispozitivele mele să aibă încredere în aceste certificate?
Instalați certificatul rădăcină CA în magazinul de încredere al fiecărei mașini sau browser: magazinul sistemului pe Windows, macOS și Linux (Chrome și Edge îl folosesc și ele), iar Firefox are propriul magazin. Ghidul de instalare de pe această pagină conține comenzile gata de copiat.
Cum este protejată cheia privată a autorității mele?
Fișierul spațiului de lucru este criptat cu AES-256-GCM, cu o cheie derivată din parola dumneavoastră (PBKDF2-SHA-256, 210000 de iterații), iar fiecare fișier PKCS12 exportat își criptează cheia privată cu parola de export. Nu există recuperare dacă pierdeți parola, deci faceți backup atât fișierului, cât și parolei.
Se pot folosi în producție?
Certificatele sunt reale criptografic și conforme cu standardele: odată ce instalați rădăcina CA, funcționează pe orice server intern, exact ca orice CA privat. Dar sunt de încredere doar privat, deci nu sunt pentru site-uri publice expuse la internet — pentru acelea folosiți un CA public sau Let’s Encrypt. Nu există revocare, deci păstrați valabilitatea scurtă și reînnoiți; cheia CA este un fișier protejat doar de parola dumneavoastră, nu un HSM. Cel mai bine se potrivesc mediile de laborator, dezvoltare, staging și serviciile interne pe care le controlați integral. Pentru sisteme critice, la nivel de organizație sau reglementate, folosiți o PKI dedicată (step-ca, HashiCorp Vault, Microsoft AD CS, EJBCA) cu chei protejate de HSM și revocare.