نحوه ی ایجاد دستی گواهی مشترک سرور self-signed

💡 پیش‌نیازهای لازم برای ایجاد گواهی Self-Signed:

• دسترسی به یک سرور لینوکس یا ویندوز
• نصب بودن ابزار OpenSSL یا ابزار مشابه
• دسترسی مدیر (Root یا Administrator)
• آشنایی اولیه با خط فرمان (CLI)
• داشتن نام دامنه یا IP برای تست

گواهی Self-Signed چیست و چه کاربردی دارد؟

تفاوت گواهی Self-Signed با گواهی‌های صادرشده توسط CA

• گواهی Self-Signed: رایگان، سریع و برای تست.
• گواهی CA: معتبر، قابل اعتماد در مرورگرها و مناسب محیط عملیاتی.

مزایای استفاده از گواهی Self-Signed

• بدون هزینه
• نصب سریع
• مناسب برای محیط‌های توسعه و آزمایش

معایب رمزنگاری داخلی با Self-Signed

• عدم اعتماد مرورگرها
• نمایش هشدار امنیتی
• مناسب نبودن برای وب‌سایت‌های عمومی

پیش‌نیازها برای ایجاد دستی گواهی SSL

نصب OpenSSL در لینوکس

sudo apt update
sudo apt install openssl -y

sudo apt update
sudo apt install openssl -y

نصب OpenSSL در ویندوز

• دانلود از وب‌سایت رسمی OpenSSL
• افزودن مسیر باینری به Environment Variables (برای این کار باید پوشه‌ای که فایل‌های اجرایی OpenSSL در آن قرار دارد، مثلاً C:\OpenSSL-Win64\bin، به مسیر سیستم اضافه شود. در ویندوز می‌توانید با رفتن به
  Control Panel > System > Advanced system settings > Environment Variables، گزینه Path را ویرایش کرده و مسیر مذکور را اضافه کنید تا بتوانید دستور openssl را از هر مسیر خط فرمان اجرا کنید.)

ابزار جایگزین برای ایجاد گواهی در سال 2025

🛠 mkcert: یک ابزار متن‌باز و بسیار ساده است که مخصوص توسعه‌دهندگان طراحی شده تا بتوانند در محیط محلی (Localhost) گواهی‌های SSL معتبر ایجاد کنند. این ابزار به‌طور خودکار یک مرجع صدور محلی (Local CA) روی سیستم شما نصب می‌کند و سپس هر بار که نیاز داشته باشید گواهی معتبر برای دامنه‌ها یا آی‌پی‌های محلی تولید می‌نماید. نتیجه این است که مرورگرها بدون نمایش هشدار امنیتی، اتصال HTTPS را برای پروژه‌های توسعه‌ای شما معتبر می‌شناسند.

ایجاد کلید خصوصی (Private Key)

ایجاد کلید RSA 2048 بیت

در این مرحله کلیدی با طول 2048 بیت ساخته می‌شود زیرا این اندازه تعادل مناسبی بین امنیت و کارایی دارد. کلیدهای کوتاه‌تر (مانند 1024 بیت) در سال‌های اخیر ناامن محسوب می‌شوند و کلیدهای بزرگ‌تر (مانند 4096 بیت) اگرچه امنیت بیشتری دارند اما می‌توانند سرعت پردازش را کاهش دهند. به همین دلیل RSA 2048 بیت استانداردی پذیرفته‌شده در بیشتر سرورها و مرورگرها است و برای محیط‌های تستی و عملیاتی امنیت کافی را فراهم می‌کند

openssl genrsa -out server.key 2048

openssl genrsa -out server.key 2048

ایجاد کلید ECDSA

openssl ecparam -genkey -name secp384r1 -out server.key

openssl ecparam -genkey -name secp384r1 -out server.key

ایجاد درخواست امضای گواهی (CSR) و تنظیم SAN

ایجاد فایل CSR

openssl req -new -key server.key -out server.csr

openssl req -new -key server.key -out server.csr

وارد کردن اطلاعات مهم

• Country Name (کد کشور): کد دوحرفی (مثل IR، US).
• State/Province و Locality: استان/شهر به‌صورت متنی.
• Common Name (CN): نام اصلی هاست (Domain یا FQDN). برای تست می‌تواند localhost یا دامنه داخلی باشد.
• Subject Alternative Name (SAN): مهم‌ترین بخش در مرورگرهای مدرن؛ باید تمام دامنه‌ها و IPهایی که قرار است به این گواهی وصل شوند را پوشش دهد (مثلاً example.local، api.example.local، 127.0.0.1، ::1). اگر SAN ناقص باشد، خطای SAN mismatch می‌گیرید.

ایجاد فایل CSR بدون پرسش‌های تعاملی

openssl req -new -key server.key -out server.csr \
  -subj "/C=IR/ST=Tehran/L=Tehran/O=companyname/CN=example.local" \
  -addext "subjectAltName=DNS:example.local,DNS:api.example.local,IP:127.0.0.1,IP:::1"

openssl req -new -key server.key -out server.csr \
  -subj "/C=IR/ST=Tehran/L=Tehran/O=companyname/CN=example.local" \
  -addext "subjectAltName=DNS:example.local,DNS:api.example.local,IP:127.0.0.1,IP:::1"

روش فایل کانفیگ برای SAN (سازگار با همه نسخه‌ها)

[ req ]
distinguished_name = dn
req_extensions     = v3_req
prompt             = no

[ dn ]
C  = IR
ST = Isfahan
L  = Isfahan
O  = Webdade
CN = example.local

[ v3_req ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = example.local
DNS.2 = api.example.local
IP.1  = 127.0.0.1
IP.2  = ::1

[ req ]
distinguished_name = dn
req_extensions     = v3_req
prompt             = no

[ dn ]
C  = IR
ST = Isfahan
L  = Isfahan
O  = Webdade
CN = example.local

[ v3_req ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = example.local
DNS.2 = api.example.local
IP.1  = 127.0.0.1
IP.2  = ::1

openssl req -new -key server.key -out server.csr \
  -config openssl.cnf -extensions v3_req

openssl req -new -key server.key -out server.csr \
  -config openssl.cnf -extensions v3_req

ایجاد گواهی Self-Signed با OpenSSL

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

openssl x509 -req -days 825 -in server.csr -signkey server.key -out server.crt

openssl x509 -req -days 825 -in server.csr -signkey server.key -out server.crt

نصب گواهی Self-Signed روی وب‌سرورها

نصب Self-Signed در Apache

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/server.crt
    SSLCertificateKeyFile /etc/ssl/private/server.key
</VirtualHost>

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/server.crt
    SSLCertificateKeyFile /etc/ssl/private/server.key
</VirtualHost>

a2enmod ssl
systemctl reload apache2

a2enmod ssl
systemctl reload apache2

نصب Self-Signed در Nginx

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/server.crt;
    ssl_certificate_key /etc/ssl/private/server.key;
}

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/server.crt;
    ssl_certificate_key /etc/ssl/private/server.key;
}

nginx -s reload

nginx -s reload

اضافه کردن گواهی به Trusted Root Store

ویندوز

• اجرای mmc
• افزودن Snap-in Certificates
• Import کردن گواهی در بخش Trusted Root Certification Authorities

لینوکس

sudo cp server.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

sudo cp server.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

macOS

• باز کردن Keychain Access
• Import کردن گواهی به System Roots

مرورگرها

• در Chrome/Firefox امکان Import دستی وجود دارد.

مدیریت و تمدید گواهی Self-Signed

بررسی تاریخ انقضا Self-Signed

openssl x509 -enddate -noout -in server.crt

openssl x509 -enddate -noout -in server.crt

تمدید گواهی Self-Signed

• تولید مجدد گواهی با همان کلید خصوصی
• جایگزین کردن فایل‌های قدیمی

خطاهای رایج و رفع مشکلات در گواهی‌های Self-Signed

خطای “Your connection is not private”

• علت: اعتماد نکردن مرورگر
• راه‌حل: اضافه کردن گواهی به Root Store

خطای SAN mismatch

• علت: عدم تعریف SAN
• راه‌حل: افزودن SAN به CSR

خطای مسیر فایل‌ها

• علت: تنظیم اشتباه مسیر در Apache/Nginx
• راه‌حل: بررسی مسیر و مجوز فایل‌ها

جایگزین‌های Self-Signed در 2025

• Let’s Encrypt: صدور رایگان و معتبر
• ZeroSSL: جایگزین رایگان با قابلیت تمدید خودکار
• mkcert: مخصوص محیط توسعه

نتیجه‌گیری:‌ایجاد دستی گواهی SSL

سوالات متداول از ایجاد دستی گواهی مشترک سرور self-signed