Ich kann Harald da zustimmen - eine eigene PKI für "Heimzwecke" zu bauen ist durchaus … komplex - ich habs nämlich gemacht, nach dieser Anleitung:
https://jamielinux.com/docs/openssl-cer ... authority/
Das funktioniert im Prinzip schon, dann kommt aber schon noch bisschen Fummelei in den Konfigurationen, und wenn man über die IP-Adresse zugreifen will (weil das DNS der Fritzbox über VPN zickt), legt nochmal eins drauf.
Und ja, man muss sich unbedingt überlegen, wie man die Private Keys der CA sicher aufbewahrt, und das auch dokumentieren, damit mans später wiederfindet, wenn z.B. das Zertifikat der Intermediate CA nach 5 (?) Jahren ausläuft und plötzlich nix mehr geht ...
Ein HSM find ich allerdings ein etwas zu großes Geschütz für Heimzwecke, aber wenn jemand will :)
Ich habs damals für die VIS Oberfläche gemacht, weil ich unbedingt die Spracheingabe nutzen wollte, und die Browser den Zugriff auf das Mikrofon nicht ohne HTTPS Verbindung zugelassen haben.
ABER: Es gibt dann auch einiges, das NICHT mehr so einfach klappt:
Ich hatte ne Menge Arbeit, z.B. die eingebetteten Flots umzustellen. Da steht dann nämlich überall eine http:// ... Adresse, und das funktioniert dann nicht mehr. Tip: Flot immer ohne Protokoll und Serveradresse in VIS reinschreiben ...
Andere eingebettete Pages mit http:// werden vom Browser rausgeschmissen. Wenn https, dann muss alles https sein. Folge: z.B. die Sonos Webkonfiguration, die im Sonos Webadapter aufgerufen werden kann, ist nicht mehr im iFrame oder Dialog darstellbar, das muss ne eigene Seite sein. Squeezebox evt. genau so.
SayIt auf den Sonos Boxen klappt auch nicht mehr, die generierten MP3 Dateien werden immer mit http:// adressiert. Workaround: Zweiter web-Adapter OHNE https ... was natürlich das Konzept ein bisschen ad absurdum führt ...
Fazit: "Einfach" mal https machen ... man kann schon, aber "einfach" führt zu ner ganzen Menge Aufwand :)