我正在为嵌入式Linux设备添加HTTPS支持。我已尝试使用以下步骤生成自签名证书：
openssl req -new > cert.csr
openssl rsa -in privkey.pem -out key.pem
openssl x509 -in cert.csr -out cert.pem -req -signkey key.pem -days 1001
cat key.pem>>cert.pem
这是可行的，但我在Google Chrome上遇到了一些错误：
这可能不是你要找的网站！站点的安全证书不受信任！
我错过了什么吗？这是构建自签名证书的正确方法吗？
当前回答
一般程序正确。命令的语法如下。
openssl req -new -key {private key file} -out {output file}
但是，会显示警告，因为浏览器无法通过使用已知的证书颁发机构（CA）验证证书来验证标识。
由于这是一个自签名证书，因此没有CA，您可以安全地忽略警告并继续。如果你想获得一个真正的证书，在公共互联网上任何人都可以识别，那么程序如下。
生成私钥使用该私钥创建CSR文件向CA提交CSR（威瑞信或其他公司等）在web服务器上安装从CA接收的证书根据cert类型将其他证书添加到身份验证链
我在《安全连接：使用OpenSSL创建安全证书》的一篇文章中了解了更多关于这一点的详细信息
其他回答
一般程序正确。命令的语法如下。
openssl req -new -key {private key file} -out {output file}
但是，会显示警告，因为浏览器无法通过使用已知的证书颁发机构（CA）验证证书来验证标识。
由于这是一个自签名证书，因此没有CA，您可以安全地忽略警告并继续。如果你想获得一个真正的证书，在公共互联网上任何人都可以识别，那么程序如下。
生成私钥使用该私钥创建CSR文件向CA提交CSR（威瑞信或其他公司等）在web服务器上安装从CA接收的证书根据cert类型将其他证书添加到身份验证链
我在《安全连接：使用OpenSSL创建安全证书》的一篇文章中了解了更多关于这一点的详细信息
我建议添加-sha256参数，以使用SHA-2哈希算法，因为主要浏览器正在考虑将“SHA-1证书”显示为不安全。
来自已接受答案的同一命令行-@diegows，添加了-sha256
openssl req-x509-sha256-newkey rsa：2048-keyout key.pem-out cert.pem-天XXX
更多信息请访问谷歌安全博客。
2018年5月更新。正如许多人在评论中指出的那样，使用SHA-2不会为自签名证书添加任何安全性。但我仍然建议使用它作为一个好习惯，不要使用过时/不安全的加密哈希函数。在“为什么最终实体证书之上的证书可以基于SHA-1？”中提供了完整的解释？。
现代浏览器现在如果缺少SAN（Subject Alternate Name），则会为格式良好的自签名证书抛出安全错误。OpenSSL没有提供命令行方式来指定这一点，因此许多开发人员的教程和书签突然过时了。
重新运行的最快方法是一个简短的独立conf文件：
创建OpenSSL配置文件（示例：req.cnf）[要求]distinguished_name=请求分类名称x509_extensions=v3_reqprompt=否[请求分配名称]C=我们ST=VAL=SomeCityO=我的公司OU=我的部门CN=www.company.com[v3_req]keyUsage=关键，数字签名，密钥协议extendedKeyUsage=服务器身份验证subjectAltName=@alt_names[备选名称]DNS.1=www.company.comDNS.2=公司网站DNS.3=公司网创建引用此配置文件的证书openssl req-x509-节点-天730-新密钥rsa：2048\-keyout cert.key-out cert.pem-config req.cnf-sha256
来自的配置示例https://support.citrix.com/article/CTX135602
生成10年无密码和证书的密钥，短方法：
openssl req -x509 -nodes -new -keyout server.key -out server.crt -days 3650 -subj "/C=/ST=/L=/O=/OU=web/CN=www.server.com"
对于标志-subj |，允许使用subject空值-subj“/C=/ST=/L=/O=/OU=web/CN=www.server.com”，但可以根据需要设置更多详细信息：
C-国家名称（2字母代码）ST-状态L-地点名称（如城市）O-组织名称OU-组织单位名称CN-通用名称-必填！
从2023年起，OpenSSL≥1.1.1，以下命令可满足您的所有需求，包括主题备用名称（SAN）：
openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
-keyout example.key -out example.crt -subj "/CN=example.com" \
-addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"
在OpenSSL≤1.1.0的旧系统上，如Debian≤9或CentOS≤7，需要使用此命令的更长版本：
openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
-keyout example.key -out example.crt -extensions san -config \
<(echo "[req]";
echo distinguished_name=req;
echo "[san]";
echo subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1
) \
-subj "/CN=example.com"
任一命令都创建一个证书
对于（子）域example.com和www.example.net（SAN）有效，对于IP地址10.0.0.1（SAN）也是有效的，相对强劲（截至2023年）有效期为3650天（约10年）。
将生成以下文件：
私钥：example.key证书：example.crt
所有信息都在命令行中提供。没有让你烦恼的互动输入。没有你必须处理的配置文件。所有必要的步骤都由单个OpenSSL调用执行：从私钥生成到自签名证书。
备注#1：加密参数
由于证书是自签名的，需要用户手动接受，因此使用短到期或弱加密是没有意义的。
未来，您可能希望使用超过4096位的RSA密钥和比sha256更强的哈希算法，但截至2023年，这些都是正常的值。它们足够强大，同时受到所有现代浏览器的支持。
备注#2：参数“-nodes”
理论上，您可以省略-nodes参数（这意味着“没有DES加密”），在这种情况下，example.key将使用密码进行加密。然而，这对于服务器安装几乎从来都没有用处，因为您要么必须将密码也存储在服务器上，要么必须在每次重新启动时手动输入密码。
备注#3：另请参见
直接在命令行上向openssl提供subjectAltName如何通过命令行向SSL证书添加多个电子邮件地址？有关MSYS_NO_PATHCONV的更多信息
