一般程序正确。命令的语法如下。

openssl req -new -key {private key file} -out {output file}

但是，会显示警告，因为浏览器无法通过使用已知的证书颁发机构（CA）验证证书来验证标识。

由于这是一个自签名证书，因此没有CA，您可以安全地忽略警告并继续。如果你想获得一个真正的证书，在公共互联网上任何人都可以识别，那么程序如下。

生成私钥使用该私钥创建CSR文件向CA提交CSR（威瑞信或其他公司等）在web服务器上安装从CA接收的证书根据cert类型将其他证书添加到身份验证链

我在《安全连接：使用OpenSSL创建安全证书》的一篇文章中了解了更多关于这一点的详细信息

我建议添加-sha256参数，以使用SHA-2哈希算法，因为主要浏览器正在考虑将“SHA-1证书”显示为不安全。

来自已接受答案的同一命令行-@diegows，添加了-sha256

openssl req-x509-sha256-newkey rsa：2048-keyout key.pem-out cert.pem-天XXX

更多信息请访问谷歌安全博客。

2018年5月更新。正如许多人在评论中指出的那样，使用SHA-2不会为自签名证书添加任何安全性。但我仍然建议使用它作为一个好习惯，不要使用过时/不安全的加密哈希函数。在“为什么最终实体证书之上的证书可以基于SHA-1？”中提供了完整的解释？。

快速命令行：最低版本

“我想要一个pfx格式的自签名证书，用于www.example.com，且不会引起太大的麻烦”：

openssl req -x509 -sha256 -days 365 -nodes -out cert.crt -keyout cert.key -subj "/CN=www.example.com"
openssl pkcs12 -export -out cert.pfx -inkey cert.key -in cert.crt

这是我在本地箱上使用的脚本，用于在自签名证书中设置SAN（subjectAltName）。

此脚本采用域名（example.com）并在同一证书中为*.example.com和example.com生成SAN。对以下各节进行了评论。为脚本命名（例如generatessl.sh）并赋予其可执行权限。文件将被写入与脚本相同的目录。

Chrome 58及更高版本要求在自签名证书中设置SAN。

#!/usr/bin/env bash

# Set the TLD domain we want to use
BASE_DOMAIN="example.com"

# Days for the cert to live
DAYS=1095

# A blank passphrase
PASSPHRASE=""

# Generated configuration file
CONFIG_FILE="config.txt"

cat > $CONFIG_FILE <<-EOF
[req]
default_bits = 2048
prompt = no
default_md = sha256
x509_extensions = v3_req
distinguished_name = dn

[dn]
C = CA
ST = BC
L = Vancouver
O = Example Corp
OU = Testing Domain
emailAddress = webmaster@$BASE_DOMAIN
CN = $BASE_DOMAIN

[v3_req]
subjectAltName = @alt_names

[alt_names]
DNS.1 = *.$BASE_DOMAIN
DNS.2 = $BASE_DOMAIN
EOF

# The file name can be anything
FILE_NAME="$BASE_DOMAIN"

# Remove previous keys
echo "Removing existing certs like $FILE_NAME.*"
chmod 770 $FILE_NAME.*
rm $FILE_NAME.*

echo "Generating certs for $BASE_DOMAIN"

# Generate our Private Key, CSR and Certificate
# Use SHA-2 as SHA-1 is unsupported from Jan 1, 2017

openssl req -new -x509 -newkey rsa:2048 -sha256 -nodes -keyout "$FILE_NAME.key" -days $DAYS -out "$FILE_NAME.crt" -passin pass:$PASSPHRASE -config "$CONFIG_FILE"

# OPTIONAL - write an info to see the details of the generated crt
openssl x509 -noout -fingerprint -text < "$FILE_NAME.crt" > "$FILE_NAME.info"

# Protect the key
chmod 400 "$FILE_NAME.key"

该脚本还编写了一个信息文件，因此您可以检查新证书并验证SAN设置是否正确。

                ...
                28:dd:b8:1e:34:b5:b1:44:1a:60:6d:e3:3c:5a:c4:
                da:3d
            Exponent: 65537 (0x10001)
    X509v3 extensions:
        X509v3 Subject Alternative Name: 
            DNS:*.example.com, DNS:example.com
Signature Algorithm: sha256WithRSAEncryption
     3b:35:5a:d6:9e:92:4f:fc:f4:f4:87:78:cd:c7:8d:cd:8c:cc:
     ...

如果您使用的是Apache，则可以在配置文件中引用上述证书，如下所示：

<VirtualHost _default_:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/htdocs

    SSLEngine on
    SSLCertificateFile path/to/your/example.com.crt
    SSLCertificateKeyFile path/to/your/example.com.key
</VirtualHost>

请记住重新启动Apache（或Nginx或IIS）服务器以使新证书生效。

从2023年起，OpenSSL≥1.1.1，以下命令可满足您的所有需求，包括主题备用名称（SAN）：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"

在OpenSSL≤1.1.0的旧系统上，如Debian≤9或CentOS≤7，需要使用此命令的更长版本：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -extensions san -config \
  <(echo "[req]"; 
    echo distinguished_name=req; 
    echo "[san]"; 
    echo subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1
    ) \
  -subj "/CN=example.com"

任一命令都创建一个证书

对于（子）域example.com和www.example.net（SAN）有效，对于IP地址10.0.0.1（SAN）也是有效的，相对强劲（截至2023年）有效期为3650天（约10年）。

将生成以下文件：

私钥：example.key证书：example.crt

所有信息都在命令行中提供。没有让你烦恼的互动输入。没有你必须处理的配置文件。所有必要的步骤都由单个OpenSSL调用执行：从私钥生成到自签名证书。

备注#1：加密参数

由于证书是自签名的，需要用户手动接受，因此使用短到期或弱加密是没有意义的。

未来，您可能希望使用超过4096位的RSA密钥和比sha256更强的哈希算法，但截至2023年，这些都是正常的值。它们足够强大，同时受到所有现代浏览器的支持。

备注#2：参数“-nodes”

理论上，您可以省略-nodes参数（这意味着“没有DES加密”），在这种情况下，example.key将使用密码进行加密。然而，这对于服务器安装几乎从来都没有用处，因为您要么必须将密码也存储在服务器上，要么必须在每次重新启动时手动输入密码。

备注#3：另请参见

直接在命令行上向openssl提供subjectAltName如何通过命令行向SSL证书添加多个电子邮件地址？有关MSYS_NO_PATHCONV的更多信息

如果您想使用openssl生成自签名证书，这里有一个我们生成的脚本，可以按原样使用。

#!/bin/bash

subj='//SKIP=skip/C=IN/ST=Country/L=City/O=MyCompany/OU=Technology'
red='\033[31m'        # red
yellow='\033[33m'        # yellow
green='\033[32m'        # green
blue='\033[34m'        # Blue
purple='\033[35m'      # Purple
cyan='\033[36m'        # Cyan
white='\033[37m'       # White


gencerts(){
certname=$1
pkname=$2
alias=$3
$(openssl genrsa -out $pkname'pem.pem' 4096)
$(openssl req -new -sha256 -key $pkname'pem.pem' -out $certname'csr.csr' -subj $subj)
$(openssl x509 -req -sha256 -days 3650 -in $certname'csr.csr' -signkey $pkname'pem.pem' -out $certname'.crt')
$(openssl pkcs12 -export -out $pkname'.p12' -name $alias -inkey $pkname'pem.pem' -in $certname'.crt')
}

verify(){
pkname=$1
keytool -v -list -storetype pkcs12 -keystore $pkname'.p12'
}

echo -e "${purple}WELCOME TO KEY PAIR GENERATOR"
echo -e "${yellow} Please enter the name of the certificate required: "
read certname
echo -e "${green}Please enter the name of the Private Key p12 file required: "
read pkname
echo -e "${cyan}Please enter the ALIAS of the Private Key p12 file : "
read pkalias
echo -e "${white}Please wait while we generate your Key Pair"

gencerts $certname $pkname $pkalias
echo -e "${white}Now lets verify the private key :)"

tput bel     # Play a bell

verify $pkname

请告诉我是否可以对脚本进行任何改进。