Aide

Générer un certificat auto-signé pour localhost et IP

Mis à jour le 14 novembre 2026

Cet outil transforme les noms de votre site local en certificat et en clé privée prêts pour votre serveur de développement. Tout se passe dans le navigateur : rien n'est envoyé ni enregistré. À la fin, vous téléchargez server.crt et server.key dans un seul ZIP.

Générer un certificat auto-signé pour localhost, domaines et adresses IP

Chaque nom saisi est ajouté à la liste Subject Alternative Name (SAN), celle que vérifient les navigateurs actuels. Il n'y a rien à configurer ni à coller.

La paire de clés est créée par le WebCrypto de votre navigateur, et le certificat est construit et signé directement dans la page.

Certificat SSL auto-signé, pas à pas

Vérifiez la zone Domaines et adresses IP. Elle commence par localhost, 127.0.0.1 ; remplacez-la ou complétez-la avec vos noms, par exemple localhost, 127.0.0.1, 192.168.1.5.
Si besoin, ouvrez Paramètres pour modifier Valide pendant (jours) ou Taille de la clé RSA.
Cliquez sur Générer le certificat. Après l'étape brève Création de votre certificat…, Votre certificat est prêt s'affiche.
Cliquez sur Télécharger le ZIP. Le fichier local-ssl-certificate.zip contient server.crt (le certificat) et server.key (la clé privée).
Ajoutez server.crt au magasin de confiance de votre ordinateur grâce à Lui faire confiance sur votre ordinateur, puis configurez votre serveur avec les deux fichiers.
Pour changer un nom ou un réglage, cliquez sur Modifier les noms ou les paramètres et générez de nouveau.

Créer un certificat SSL localhost et pour une adresse IP

Séparez les entrées par des virgules, des espaces ou des retours à la ligne. Chacune est classée automatiquement comme nom DNS ou comme adresse IP :

Noms d'hôte comme localhost ou dev.example.test
Caractères génériques comme *.example.test, qui couvrent un seul niveau de sous-domaine
Adresses IPv4 comme 192.168.1.5 et IPv6 comme ::1, avec ou sans crochets
Noms avec accents ou lettres non latines, convertis pour vous en punycode (la forme xn--)

Un certificat peut couvrir jusqu'à 50 noms. Saisissez uniquement le nom d'hôte ou l'adresse : une entrée avec https:// ou avec un numéro de port est refusée, et l'erreur indique exactement lesquelles ne sont pas valides. Le nom tapé dans la barre d'adresse doit figurer parmi ceux du certificat, sinon le navigateur avertit encore.

Paramètres : durée de validité et taille de la clé

Valide pendant accepte de 1 à 397 jours et démarre à 365. Un nombre hors de cette plage est ramené à la limite la plus proche. Le certificat est valable dès sa génération, et Valide jusqu'au affiche la date de fin dans le résultat. À l'expiration, générez-en un nouveau.

La Taille de la clé RSA est de 2048 bits par défaut, ce qui est rapide et accepté partout. Choisissez 4096 bits pour une clé plus grande ; sa création peut prendre quelques secondes.

Le résultat affiche Couvre (tous les noms), Valide jusqu'au, Clé et l'Empreinte SHA-256. Le certificat est un X.509 version 3 auto-signé, signé avec sa propre clé en SHA-256 avec RSA. Le nom commun est la première entrée saisie, mais les navigateurs lisent la liste SAN. Le numéro de série est aléatoire.

Faire confiance au certificat sur Windows, macOS et Linux

Un navigateur avertit d'un certificat auto-signé tant qu'il n'est pas dans le magasin de confiance. Décompressez le ZIP, ouvrez un terminal dans ce dossier et lancez la commande de votre système. Chacune est aussi affichée, prête à copier, sous Lui faire confiance sur votre ordinateur.

macOS : sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain server.crt
Windows (PowerShell en administrateur) : Import-Certificate -FilePath .\server.crt -CertStoreLocation Cert:\LocalMachine\Root
Debian et Ubuntu : sudo cp server.crt /usr/local/share/ca-certificates/server.crt puis sudo update-ca-certificates
Fedora et RHEL : sudo cp server.crt /etc/pki/ca-trust/source/anchors/ puis sudo update-ca-trust

Firefox tient sa propre liste, tout comme Chrome sous Linux. Importez-y server.crt dans Paramètres, Certificats, Autorités. Certains outils de développement ont aussi leur propre liste : donnez-leur server.crt dans leurs réglages. Redémarrez le navigateur après avoir validé la confiance.

Certificat auto-signé nginx et Apache : l'utiliser dans le serveur

Indiquez server.crt dans le réglage du certificat de votre serveur web et server.key dans celui de la clé privée, puis redémarrez le serveur. Dans nginx, ces réglages s'appellent ssl_certificate et ssl_certificate_key ; dans Apache, SSLCertificateFile et SSLCertificateKeyFile. Ouvrez ensuite votre site avec l'un des noms du certificat, précédé de https://.

Gardez server.key privée : quiconque la possède peut se faire passer pour votre site local. Ne la publiez pas dans un dépôt public. L'outil est réservé au développement local ; ne mettez jamais un certificat auto-signé sur un site public.

Questions fréquentes

Comment générer un certificat auto-signé pour localhost ?

Laissez localhost, 127.0.0.1 dans la zone « Domaines et adresses IP », cliquez sur « Générer le certificat » puis sur « Télécharger le ZIP ». Vous obtenez server.crt et server.key. Indiquez ces deux fichiers à votre serveur web local et ajoutez server.crt au magasin de confiance de votre ordinateur pour que le navigateur cesse d'avertir.

Peut-on créer un certificat SSL pour une adresse IP ?

Oui. Saisissez l'adresse dans la zone « Domaines et adresses IP », par exemple 192.168.1.5. IPv4 et IPv6 fonctionnent, de même que la forme entre crochets [::1]. Chaque IP est inscrite dans le certificat comme une entrée d'adresse IP, ce que le navigateur vérifie en ouvrant https://192.168.1.5. Saisissez seulement l'adresse, sans https:// ni port.

Peut-on créer un certificat auto-signé de type wildcard ?

Oui. Saisissez un caractère générique comme *.example.test et il est ajouté comme nom DNS. Il ne couvre qu'un niveau : *.example.test valide app.example.test, mais pas example.test lui-même ni a.b.example.test. Ajoutez example.test à part si vous en avez besoin.

Faut-il OpenSSL pour générer un certificat auto-signé ?

Non. La paire de clés est créée par le WebCrypto de votre navigateur et le certificat est construit et signé dans la page : aucune commande à lancer, rien à installer. OpenSSL ne servirait que si vous voulez convertir ensuite les fichiers dans un autre format.

Comment faire confiance au certificat sur Windows ?

Ouvrez PowerShell en administrateur, placez-vous dans le dossier où vous avez décompressé les fichiers et lancez Import-Certificate -FilePath .\server.crt -CertStoreLocation Cert:\LocalMachine\Root. Cela copie le certificat dans le magasin des autorités racines de confiance, que lisent Chrome et Edge.

Comment faire confiance au certificat sur Mac, Ubuntu ou Firefox ?

Sur Mac, lancez dans le dossier de server.crt : sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain server.crt. Sous Debian et Ubuntu, copiez le fichier dans /usr/local/share/ca-certificates/ puis lancez sudo update-ca-certificates. Firefox n'utilise pas le magasin du système : importez server.crt dans ses paramètres, sous Certificats et Autorités.

Peut-on obtenir un fichier PFX, une CSR ou un certificat Let's Encrypt ?

Non. Cet outil crée un certificat auto-signé au format PEM : server.crt et server.key. Il ne crée ni demande de signature (CSR), ni certificat signé par une autorité ou public, ni autorité racine séparée. Si vous avez besoin d'un PFX, la commande pkcs12 d'OpenSSL peut le construire à partir des deux fichiers.

Recommandés

Support tablette rotatif 360° Lamicall
Calez le téléphone ou la tablette sur lequel vous ouvrez https://192.168.x.x pendant vos tests.
Clé USB chiffrée Kingston IronKey Vault Privacy 50
Une clé chiffrée par le matériel pour garder server.key hors du disque en clair de votre portable.
Webcam de streaming EMEET S600 4K
Les tests de caméra exigent HTTPS : essayez en vrai avec une bonne webcam 4K.

Aide à garder les outils gratuits. ✨

Images non contractuelles. En tant que Partenaire Amazon, je réalise un bénéfice sur les achats remplissant les conditions requises.