Todo certificado de CA raiz é autoassinado; a diferença entre uma raiz confiável e um erro “self-signed certificate” está apenas em o verificador tê-la ou não no seu trust store. Um certificado de servidor autoassinado oferece criptografia contra a escuta passiva, mas nenhuma autenticação, a menos que os clientes o fixem ou o instalem; é por isso que os navegadores mostram NET::ERR_CERT_AUTHORITY_INVALID e as ferramentas relatam self-signed certificate.
Para desenvolvimento, uma CA privada local (mkcert, step-ca ou alguns comandos do OpenSSL) funciona melhor que certificados folha autoassinados avulsos: você instala uma única raiz e emite certificados adequados, com SANs, para cada host. Nunca desative a verificação no código (verify=False, rejectUnauthorized: false, InsecureSkipVerify) para fazer um desses certificados funcionar.
Um comando útil: openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:P-256 -nodes -keyout key.pem -out cert.pem -days 30 -subj "/CN=localhost" -addext "subjectAltName=DNS:localhost,IP:127.0.0.1".