Генератор самоподписанных сертификатов для localhost и внутренних серверов

Потому что одиночному сертификату приходится доверять на каждой машине, в каждом браузере и по одному, а Chrome вообще убрал возможность постоянно доверять такому сертификату для localhost. Корневой УЦ ставится один раз, после чего любой выпущенный им сертификат принимается сразу — включая сертификаты для проектов, которых вы ещё не создали. Ровно этим соображением руководствуется и mkcert.

Это реальный риск, и он заслуживает прямого ответа: владелец приватного ключа УЦ может выпустить сертификат на любой сайт, и машина, доверяющая этому УЦ, его примет. Ключ создаётся в вашем браузере и есть только у вас, поэтому риск — в утечке ключа. Держите его на своей машине, не кладите в общий репозиторий и не устанавливайте УЦ на устройства, которые вам не подконтрольны. Если ключ всё же утёк — удалите УЦ из хранилища доверия и создайте новый.

Три обычные причины. У Firefox своё хранилище сертификатов, системное он игнорирует — импортируйте УЦ туда отдельно. Chrome и Safari кэшируют решения по сертификатам — полностью перезапустите браузер. И в самом сертификате должно стоять ровно то имя, по которому вы заходите: localhost и 127.0.0.1 — разные записи, и сертификат, называющий только одно, будет отвергнут для другого.

Для локальной разработки удобен предлагаемый срок в 825 дней. Учтите, что macOS и iOS отвергают любой сертификат со сроком больше 825 дней, даже самоподписанный, — так что больший срок сломает Safari на устройствах Apple. Сам УЦ выпускается на десять лет, потому что переустановка корня во всех браузерах и есть самая утомительная часть.

Нет, и ничем это не исправить. Посетители ваш УЦ не устанавливали, поэтому их браузеры покажут полноэкранное предупреждение. Публичному сайту нужен сертификат от публично доверенного центра — Let's Encrypt выдаёт такие без оплаты и продлевает автоматически.