Todo certificado de CA raíz es autofirmado; lo único que distingue una raíz de confianza de un error de «certificado autofirmado» es si el verificador la tiene en su almacén. Un certificado de servidor autofirmado ofrece cifrado frente a la escucha pasiva, pero no autenticación, salvo que los clientes lo fijen o lo instalen; por eso los navegadores muestran NET::ERR_CERT_AUTHORITY_INVALID y las herramientas informan de self-signed certificate.
Para desarrollo, una CA privada local (mkcert, step-ca o unos pocos comandos de OpenSSL) funciona mejor que certificados hoja autofirmados sueltos: instalas una sola raíz y emites certificados correctos con SAN para cada host. Nunca desactives la verificación en el código (verify=False, rejectUnauthorized: false, InsecureSkipVerify) para que funcione uno de ellos.
Un comando útil: openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:P-256 -nodes -keyout key.pem -out cert.pem -days 30 -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1".