快速命令行：最低版本

“我想要一个pfx格式的自签名证书，用于www.example.com，且不会引起太大的麻烦”：

openssl req -x509 -sha256 -days 365 -nodes -out cert.crt -keyout cert.key -subj "/CN=www.example.com"
openssl pkcs12 -export -out cert.pfx -inkey cert.key -in cert.crt

您可以在一个命令中完成此操作：

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365

如果您不想用密码保护您的私钥，也可以添加-node（“no DES”的缩写）。否则，它将提示您输入“至少4个字符”的密码。

天数参数（365）可以替换为任何数字以影响到期日期。然后它会提示您输入“国家名称”之类的信息，但您只需按Enter键并接受默认值即可。

添加-sbj'/CN=localhost'以抑制有关证书内容的问题（用所需域替换localhost）。

自签名证书不会通过任何第三方进行验证，除非您以前将其导入浏览器。如果需要更多的安全性，则应使用由证书颁发机构（CA）签名的证书。

正如已经详细讨论过的，自签名证书不受Internet信任。您可以将自签名证书添加到许多浏览器，但不是所有浏览器。或者，您可以成为自己的证书颁发机构。

人们不想从证书颁发机构获得签名证书的主要原因是成本--赛门铁克每年收取995美元至1999美元的证书费用--仅针对用于内部网络的证书，赛门铁克每年收取399美元。如果您正在处理信用卡付款或为高利润公司的利润中心工作，那么该成本很容易被证明是合理的。对于一个在互联网上创建的个人项目，或者一个以最低预算运行的非营利组织，或者如果一个人在一个组织的成本中心工作，成本中心总是试图用更少的钱做更多的事情，这是很多人都无法承受的。

另一种方法是使用certbot（参见certbot）。Certbot是一个易于使用的自动客户端，可为web服务器获取和部署SSL/TLS证书。

如果您设置了certbot，则可以使其为您创建和维护Let's Encrypt证书颁发机构颁发的证书。

我在周末为我的组织做了这件事。我在服务器（Ubuntu 16.04）上安装了certbot所需的软件包，然后运行了设置和启用certbot所必需的命令。一个可能需要certbot的DNS插件-我们目前正在使用DigitalOcean，但可能很快会迁移到另一个服务。

请注意，有些指示不太正确，需要谷歌花点时间才能弄清楚。这第一次花了我相当多的时间，但现在我想我可以在几分钟内完成。

对于DigitalOcean，我遇到的一个问题是，系统提示我输入DigitalOcean凭据INI文件的路径。脚本所指的是应用程序和API页面以及该页面上的令牌/密钥选项卡。您需要为DigitalOcean的API创建或生成个人访问令牌（读写）——这是一个65个字符的十六进制字符串。然后需要将该字符串放入运行certbot的Web服务器上的文件中。该文件的第一行可以是注释（注释以#开头）。第二行是：

dns_digitalocean_token = 0000111122223333444455556666777788889999aaaabbbbccccddddeeeeffff

一旦我知道了如何为DigitalOcean的API设置读写令牌，就可以很容易地使用certbot来设置通配符证书。请注意，您不必设置通配符证书，而是可以指定要应用证书的每个域和子域。正是通配符证书需要包含来自DigitalOcean的个人访问令牌的凭据INI文件。

请注意，公钥证书（也称为身份证书或SSL证书）过期并需要续订。因此，您需要定期（重复）更新证书。certbot文档包括续订证书。

我的计划是编写一个脚本，使用openssl命令获取证书的到期日期，并在到期前30天或更短的时间内触发续订。然后我将把这个脚本添加到cron中，并每天运行一次。

以下是读取证书过期日期的命令：

root@prod-host:~# /usr/bin/openssl x509 -enddate -noout -in path-to-certificate-pem-file
notAfter=May 25 19:24:12 2019 GMT

从2023年起，OpenSSL≥1.1.1，以下命令可满足您的所有需求，包括主题备用名称（SAN）：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -subj "/CN=example.com" \
  -addext "subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1"

在OpenSSL≤1.1.0的旧系统上，如Debian≤9或CentOS≤7，需要使用此命令的更长版本：

openssl req -x509 -newkey rsa:4096 -sha256 -days 3650 -nodes \
  -keyout example.key -out example.crt -extensions san -config \
  <(echo "[req]"; 
    echo distinguished_name=req; 
    echo "[san]"; 
    echo subjectAltName=DNS:example.com,DNS:www.example.net,IP:10.0.0.1
    ) \
  -subj "/CN=example.com"

任一命令都创建一个证书

对于（子）域example.com和www.example.net（SAN）有效，对于IP地址10.0.0.1（SAN）也是有效的，相对强劲（截至2023年）有效期为3650天（约10年）。

将生成以下文件：

私钥：example.key证书：example.crt

所有信息都在命令行中提供。没有让你烦恼的互动输入。没有你必须处理的配置文件。所有必要的步骤都由单个OpenSSL调用执行：从私钥生成到自签名证书。

备注#1：加密参数

由于证书是自签名的，需要用户手动接受，因此使用短到期或弱加密是没有意义的。

未来，您可能希望使用超过4096位的RSA密钥和比sha256更强的哈希算法，但截至2023年，这些都是正常的值。它们足够强大，同时受到所有现代浏览器的支持。

备注#2：参数“-nodes”

理论上，您可以省略-nodes参数（这意味着“没有DES加密”），在这种情况下，example.key将使用密码进行加密。然而，这对于服务器安装几乎从来都没有用处，因为您要么必须将密码也存储在服务器上，要么必须在每次重新启动时手动输入密码。

备注#3：另请参见

直接在命令行上向openssl提供subjectAltName如何通过命令行向SSL证书添加多个电子邮件地址？有关MSYS_NO_PATHCONV的更多信息

在经历了大量的尝试和各种解决方案之后，我仍然面临这样一个问题：为localhost颁发自签名证书会给我带来错误

错误证书无效

在扩展细节时，chrome表示：

您现在无法访问localhost，因为网站已发送加密凭据。。。

唯一难看的方式是键入（直接在这个屏幕上，没有看到文本的任何光标）：

（在键盘上键入）这是安全的

这让我继续。

直到我找到extendedKeyUsage=serverAuth，clientAuth

TL；博士

openssl genrsa-out localhost.key 2048openssl req-key localhost.key-new-out localhost.csr（单击输入所有内容，然后用localhost或其他FQDN填写通用名称（CN）。将以下内容放入名为v3.ext的文件中（根据需要进行编辑）：

subjectKeyIdentifier   = hash
authorityKeyIdentifier = keyid:always,issuer:always
basicConstraints       = CA:TRUE
keyUsage               = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment, keyAgreement, keyCertSign
extendedKeyUsage       = serverAuth, clientAuth
subjectAltName         = DNS:localhost, DNS:localhost.localdomain
issuerAltName          = issuer:copy

openssl x509-req-in localhost.csr-signkey localhost.key-out localhost.pem-days 3650-sha256-extfile v3.ext

瞧！您可以访问网站，展开“高级”，然后单击“转到本地主机（不安全）”。

2017年一艘班轮：

openssl req \
-newkey rsa:2048 \
-x509 \
-nodes \
-keyout server.pem \
-new \
-out server.pem \
-subj /CN=localhost \
-reqexts SAN \
-extensions SAN \
-config <(cat /System/Library/OpenSSL/openssl.cnf \
    <(printf '[SAN]\nsubjectAltName=DNS:localhost')) \
-sha256 \
-days 3650

这也适用于Chrome 57，因为它提供了SAN，而无需另一个配置文件。它取自这里的一个答案。

这将创建一个包含私钥和证书的.pem文件。如果需要，可以将它们移动到单独的.pem。