¿Certificados autofirmados SSL en desarrollo frente a certificado adquirido en producción?

  

¿Está bien usar certificados autofirmados para el desarrollo y luego usar   ¿El adquirido solo para producción?

Sí, así es como casi todo el mundo lo hace. No tiene que pagar a una autoridad de certificación para certificar que está hablando con su propio servidor. Autofirmelo hasta la producción, compre un certificado real más tarde.

  

¿El uso de certificados autofirmados implica que, en desarrollo, el   los clientes necesitan agregar mi CA a su lista?

Sí, eso es correcto. O eso o el temido "El servidor al que te estás conectando puede estar intentando apuñalarte" se mostrará en sus navegadores.

  

Cuando estemos en vivo, usando el certificado adquirido real, habrá   ¿Algún cambio en los clientes?

Nada cambiará. A menos que haya empleado la Key Pinning con una larga antigüedad máxima, usted coloca un certificado válido en su servidor y lo olvida hasta que llega el momento de renovarlo. Sus clientes nunca verán ninguna diferencia.

Pero si está usando la fijación de claves, debe usar al menos dos certificados. Si fija el certificado incorrecto, caduca, se ve comprometido o se pierde, sus clientes no podrán conectarse hasta que caduque la fijación. Tener un pin de respaldo (el segundo certificado válido) le asegurará que puede fijar otro certificado y arreglar cualquier desorden.