如何自己生成SSL证书？安全吗
当开发者需要在本地搭建测试环境、进行内部系统调试，或是想在开发阶段提前启用HTTPS时，快速生成一张SSL证书就成了刚需，自己生成SSL证书也被称为自签名证书，最常用的工具是OpenSSL，它几乎被所有Linux发行版默认集成的开源加密工具包，Windows和macOS用户也可通过官网下载安装，下文将介绍自己生成SSL证书的相关指南。
一、如何自己生成SSL证书
第一步：生成私钥
首先生成一个2048位的RSA私钥，这是证书安全的核心，必须妥善保管，切勿泄露：
openssl genrsa-out mykey.pem 2048
第二步：创建证书签名请求（CSR）
根据刚生成的私钥创建证书签名请求文件，系统会提示你填写国家、省份、城市、组织等证书信息：
openssl req-new-key mykey.pem-out mycsr.csr
第三步：生成自签名证书
根据CSR和私钥生成自签名证书，`-days`参数指定证书有效期（如365天）
openssl x509-req-days 365-in mycsr.csr-signkey mykey.pem-out mycert.pem
完成后，当前目录下会生成三个文件：私钥文件（mykey.pem）、CSR文件（mycsr.csr）和自签名证书（mycert.pem）。将私钥和证书配置到Nginx、Apache等Web服务器的SSL模块后，即可启用HTTPS。
以上是指定有效期生成证书的常规方式。如果需要在本地开发环境中实现无警告的HTTPS访问，也可以使用OpenSSL创建一个本地根CA证书，再用该CA签发包含多个域名的服务器证书，最后将根CA添加到系统的信任列表中。这种方式可为`localhost`或自定义本地域名签发证书，在开发调试时更加便捷。
二、自己生成SSL证书安全吗
自己生成SSL证书并不安全。自签名证书没有经过任何第三方权威认证，无法被纳入操作系统和浏览器的信任链，更适合一些非公开的场景：
本地开发调试环境（允许开发者手动将证书加入系统信任列表）
企业内网测试服务器（使用人员固定且可手动确认证书）
封闭的IoT设备通信网络（不对外提供服务）
用OpenSSL自己生成SSL证书仅适用于本地开发、内网测试等封闭环境，不能用于任何面向公众的网站，对于正式上线的网站，选择一张正规CA机构签发的SSL证书才是正确的选择。通过安信证书申请，既能享受权威CA的品牌保障，又能获得一站式安装和续签服务。
相关推荐：《SSL证书生成Key和PEM操作指南》
SSL证书品牌
-
DigiCert是全球顶尖级SSL数字证书提供商，服务于全球一百四十多个国家和地区，是名副其实的行业领导者。旗下拥有 DigiCert，Symantec，Geotrust，Thawte，RapidSSL等SSL证书品牌。
-
GeoTrust是全球第二大数字证书颁发机构，是一款优质的、高性价比的SSL证书品牌，SSL证书类型丰富，且完美支持中文域名和显示中文名称。服务范围超过150多个国家，拥有客户超过10W。
-
Sectigo（原Comodo CA）成立于1998年，是全球优秀的网络安全服务提供商和SSL证书服务商之一，其提供的SSL证书类型丰富且价格亲民，能完美的为网站和企业提供各个类型的数字证书安全解决方案。
-
GlobalSign1996年起开始颁发可信赖的SSL数字证书，是一家声誉卓越、备受信赖的SSL数字提供商，是信息安全领域的佼佼者、公众信任服务行业的领头羊。旗下拥有GlobalSign、AlphaSSL等SSL证书品牌。
-
Thawte是全球第三大数字证书颁发机构，其产品占据了全球SSL数字证书市场的40％，它是全球最早支持IDN国际语言域名的数字证书品牌，使用中文域名网站的中国用户也可以部署SSL证书来确保信息安全。
-
RapidSSL是入门级便宜SSL证书品牌，目前属于Digicert的子品牌，其根证书为Digicert，只有两款DV证书产品，相对Digicert其他子品牌的DV证书，价格便宜很多，非常适合小型网站和个人用户申请安装。
相关文章
