# TLS-Zertifikate

Dieses Verzeichnis ist für deine eigenen TLS-Zertifikate gedacht.

## Selbstsigniertes Zertifikat (Standard)

Wenn dieses Verzeichnis **leer** ist, generiert CardSync beim ersten Start
automatisch ein selbstsigniertes Zertifikat (10 Jahre gültig) für die Hostnamen:
- `cardsync.local`
- `localhost`
- `127.0.0.1`

Browser zeigen dabei eine Sicherheitswarnung, die du einmalig akzeptieren musst.

## Eigenes Zertifikat verwenden (Wildcard, Let's Encrypt, etc.)

Lege deine Dateien hier ab — **exakt mit diesen Namen**:

```
nginx/certs/cert.pem   ← Public Cert (inkl. Intermediate-Chain bei CA-Certs)
nginx/certs/key.pem    ← Private Key (unverschlüsselt)
```

Falls dein Provider die Datei anders nennt:
| Datei vom Provider                  | → umbenennen zu |
|-------------------------------------|-----------------|
| `fullchain.pem` (Let's Encrypt)     | `cert.pem`      |
| `privkey.pem` (Let's Encrypt)       | `key.pem`       |
| `cert.crt` + `bundle.crt`           | zusammenfügen zu `cert.pem` (cert zuerst, dann bundle) |
| `*.pfx` (Windows)                   | siehe Konvertierung unten |

## PFX/P12 nach PEM konvertieren

Falls du nur eine `.pfx`-Datei hast (typisch bei Windows-Wildcard-Certs):

```bash
# Cert extrahieren
openssl pkcs12 -in dein-zertifikat.pfx -clcerts -nokeys -out cert.pem

# Key extrahieren (entschlüsselt)
openssl pkcs12 -in dein-zertifikat.pfx -nocerts -nodes -out key.pem
```

## Nach Cert-Tausch

```bash
docker compose restart frontend
```

Das ist alles — CardSync übernimmt das neue Zertifikat automatisch.