Difference between revisions of "Letsencrypt/fr"
(61 intermediate revisions by the same user not shown) | |||
Line 1: | Line 1: | ||
{{Languages|Letsencrypt}} | {{Languages|Letsencrypt}} | ||
{{Level|Medium}} | {{Level|Medium}} | ||
− | == | + | <!-- here we define the contrib name variable --> |
+ | <!-- we get the page title, remove suffix for translated version; if needed you can define there with the value you want--> | ||
+ | {{#vardefine:contribname| {{lc: {{#titleparts: {{BASEPAGENAME}} |1}} }} }} | ||
+ | {{#vardefine:smecontribname| smeserver-{{lc: {{#titleparts: {{BASEPAGENAME}} |1}} }} }} | ||
+ | <!-- we define the language --> | ||
+ | {{#vardefine:lang| {{lc: {{#titleparts: {{PAGENAME}} | | -1}} }} |en }} | ||
+ | {{Infobox contribs | ||
+ | |name={{#var:contribname}} | ||
+ | |image={{#var:contribname}}.jpg | ||
+ | |description_image= {{#var:contribname}} logo | ||
+ | |maintainer= John Crisp | ||
+ | |licence= MIT license | ||
+ | |url= https://github.com/dehydrated-io/dehydrated | ||
+ | |category= certificates | ||
+ | |tags=dehydrated,letsencrypt,dns,http,ssl | ||
+ | }} | ||
+ | ==Mainteneur== | ||
+ | John Crisp | ||
+ | |||
+ | == Version == | ||
+ | {{#set: Version=Contrib10}} | ||
+ | {{#smeversion:smeserver-letsencrypt }} | ||
+ | <br> | ||
+ | |||
+ | ==Description== | ||
+ | |||
+ | {{warning box|type=Attention !| Le protocole original utilisé par Let’s Encrypt pour l’émission et la gestion des certificats est appelé ACMEv1. En mars 2018, Letsencrypt a introduit le support pour ACMEv2, une version plus récente du protocole qui correspond à ce qui a été finalisé aujourd'hui sous la RFC 8555 328. Ils encouragent les abonnés à passer au protocole ACMEv2. | ||
+ | |||
+ | En mars 2019, ils ont annoncé un plan de fin de vie pour ACMEv1. | ||
+ | |||
+ | En novembre 2019, ils ne permettront plus les nouvelles inscriptions de compte via leur point de terminaison API ACMEv1. '' 'IMPORTANT' '' Les comptes existants continueront à fonctionner normalement. | ||
+ | |||
+ | En juin 2020, ils ne permettront plus aux nouveaux domaines d'être validés via ACMEv1. | ||
+ | |||
+ | À compter du début de 2021, ils désactiveront occasionnellement l'émission et le renouvellement d'ACMEv1 pour des périodes de 24 heures, pas plus d'une fois par mois (le service OCSP ne sera pas affecté). Le but est d’induire des erreurs client susceptibles d’encourager les abonnés à se mettre à jour vers des clients ou des configurations utilisant ACMEv2. | ||
+ | |||
+ | Les échecs de renouvellement doivent être limités car les nouvelles validations de domaine seront déjà désactivées et nous recommandons de renouveler les certificats 30 jours avant leur expiration. | ||
+ | |||
+ | En juin 2021, ils désactiveront complètement ACMEv1 en tant que moyen viable d’obtenir un certificat Let’s Encrypt.}} | ||
+ | |||
[https://letsencrypt.org/ Let’s Encrypt] est une nouvelle Autorité de Certification (CA) : | [https://letsencrypt.org/ Let’s Encrypt] est une nouvelle Autorité de Certification (CA) : | ||
c'est gratuit, automatique et libre. Son but principal est de permettre aux gens de crypter leur trafic gratuitement, facilement et automatiquement. Les certificats délivrés doivent être renouvelés tous les 3 mois. | c'est gratuit, automatique et libre. Son but principal est de permettre aux gens de crypter leur trafic gratuitement, facilement et automatiquement. Les certificats délivrés doivent être renouvelés tous les 3 mois. | ||
Line 12: | Line 51: | ||
Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de ''[https://github.com/lukas2511/dehydrated dehydrated]'', un client alternatif mis en œuvre en tant que script shell BASH. | Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de ''[https://github.com/lukas2511/dehydrated dehydrated]'', un client alternatif mis en œuvre en tant que script shell BASH. | ||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
==Prérequis== | ==Prérequis== | ||
Line 44: | Line 77: | ||
config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)" | config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)" | ||
− | ==Installation de la contribution de Dehydrated== | + | ==Installation de la contribution de Dehydrated letsencrypt== |
John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME. | John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME. | ||
+ | <tabs container style="display: inline-block;"><tab name="Pour SME 10"> | ||
+ | yum install smeserver-letsencrypt | ||
+ | |||
+ | Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ». | ||
+ | |||
+ | Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut. | ||
+ | db yum_repositories setprop smeaddons status enabled | ||
+ | signal-event yum-modify | ||
+ | </tab><tab name="Pour SME 9"> | ||
===Installation=== | ===Installation=== | ||
− | yum install smeserver-letsencrypt -- | + | yum install smeserver-letsencrypt |
+ | signal-event console-save | ||
− | Vous | + | Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ». |
+ | Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut. | ||
+ | db yum_repositories setprop smeaddons status enabled | ||
+ | signal-event yum-modify | ||
− | |||
Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » : | Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » : | ||
− | + | ||
− | |||
===Ré-actualisation=== | ===Ré-actualisation=== | ||
Line 62: | Line 106: | ||
Une mise à jour complète peut être effectuée comme suit : | Une mise à jour complète peut être effectuée comme suit : | ||
− | yum update smeserver-letsencrypt dehydrated | + | yum update smeserver-letsencrypt dehydrated |
− | + | config setprop letsencrypt ACCEPT_TERMS yes | |
− | |||
− | |||
− | |||
− | |||
signal-event console-save | signal-event console-save | ||
Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés. | Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés. | ||
+ | </tab> | ||
+ | </tabs> | ||
− | + | ==Configuration== | |
Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat. | Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat. | ||
+ | ===Exemples de démarrage rapide=== | ||
+ | Pour le test ('''régler les domaines et les hôtes''') : | ||
+ | <tabs container style="display: inline-block;"><tab name="Pour SME 10"> | ||
+ | config setprop letsencrypt ACCEPT_TERMS yes status test | ||
+ | # tâche très rapide pour activer le domaine principal : | ||
+ | db domains setprop $(config get DomainName) letsencryptSSLcert enabled | ||
+ | #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : | ||
+ | db domains setprop '''domain1.com''' letsencryptSSLcert enabled | ||
+ | #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : | ||
+ | db hosts setprop '''www.domain1.com''' letsencryptSSLcert enabled | ||
+ | signal-event smeserver-letsencrypt-update | ||
+ | dehydrated -c | ||
+ | </tab><tab name="Pour SME 9"> | ||
+ | config setprop letsencrypt ACCEPT_TERMS yes status test API 2 | ||
+ | #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : | ||
+ | db domains setprop '''domain1.com''' letsencryptSSLcert enabled | ||
+ | #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : | ||
+ | db hosts setprop '''www.domain1.com''' letsencryptSSLcert enabled | ||
+ | signal-event console-save | ||
+ | dehydrated -c | ||
+ | </tab> | ||
+ | </tabs> | ||
+ | Vérifiez que les certificats sont valables (votre fureteur détectera encore une erreur mais vous pouvez explorer le contenu du certificat pour voir que l'Autorité de Certification (CA en anglais) a été utilisée pour signer votre certificat SSL et que tous vos domaines et hôtes sont dans la propriété « Autre nom de l'objet du certificat ». | ||
+ | |||
+ | Pour la production ('''régler votre adresse électronique'''): | ||
+ | <tabs container style="display: inline-block;"><tab name="Pour SME 10"> | ||
+ | config setprop letsencrypt status enabled email admin@$(config get DomainName) | ||
+ | signal-event smeserver-letsencrypt-update | ||
+ | dehydrated -c -x | ||
+ | </tab><tab name="Pour SME 9"> | ||
+ | config setprop letsencrypt status enabled email '''admin@domain1.com''' | ||
+ | signal-event console-save | ||
+ | dehydrated -c -x | ||
+ | </tab> | ||
+ | </tabs> | ||
+ | |||
+ | ===Configuration étape par étape=== | ||
====Hôtes et domaines du certificat==== | ====Hôtes et domaines du certificat==== | ||
Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui : | Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui : | ||
Line 84: | Line 163: | ||
* domaine1.com | * domaine1.com | ||
− | + | ** www.domaine1.com | |
− | + | ** mail.domaine1.com | |
− | + | ** ftp.domaine1.com | |
* domaine2.com | * domaine2.com | ||
− | + | ** www.domaine2.com | |
− | + | ** mail.domaine2.com | |
Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande : | Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande : | ||
Line 120: | Line 199: | ||
Avec la configuration du système décrite ci-dessus : | Avec la configuration du système décrite ci-dessus : | ||
− | * la définition de | + | * la définition de « domains » obtiendra un certificat couvrant domain1.com et domain2.com, mais pas www.domain1.com, etc. ; |
* le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ; | * le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ; | ||
− | * le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. '' ' | + | * le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. '''Voyez cette [[Letsencrypt/Troubleshooting#Some_challenges_complete_successfully_but_some_hostnames_fail | NOTE en anglais]] avant de régler ce paramètre sur « all ».''' |
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
+ | ====Activer le mode test ==== | ||
+ | Après avoir installé et configuré tous les domaines et hôtes, l'étape suivante consiste à utiliser le mode test, qui est activé par défaut. Cela procurera des certificats du serveur intermédiaire. Les limites renouvellement exposées dans l'introduction ne s'appliqueront pas, donc toute erreur ou tout autre problème ne vous empêcheront pas d'obtenir votre certificat de production. | ||
+ | Activer le mode test en utilisant cette commande : | ||
config setprop letsencrypt status test | config setprop letsencrypt status test | ||
signal-event console-save | signal-event console-save | ||
Line 151: | Line 215: | ||
S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir [[Bugzilla:10300]]. | S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir [[Bugzilla:10300]]. | ||
− | + | {{Note box|type=Note :| solution pour l'erreur « ID de compte mal formé dans l'URL d'en-tête KeyID » à l'aide de l'API 2, pour les versions de contribution 0.6.13 ou antérieures, voir [[Bugzilla: 10828]] ou mettre à jour la contribution.}} | |
− | ===Activer le mode production === | + | Si cela fonctionne sans erreur, essayez de vous connecter à la page du gestionnaire de votre serveur. Vous devriez voir une erreur indiquant que le certificat de sécurité n'a pas été émis par une autorité de certification approuvée. C'est parfaitement normal. Cependant, il devrait y avoir un certificat, il devrait inclure tous les noms d'hôte que vous vouliez inclure, et il devrait être valide pour les quatre-vingt-dix prochains jours. Si cela a réussi, passez à la production. |
+ | |||
+ | ====Activer le mode production ==== | ||
Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes : | Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes : | ||
Line 164: | Line 230: | ||
L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours. | L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours. | ||
− | Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement | + | Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement perpétuellement. |
Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme [https://www.ssllabs.com/ssltest/ SSLLabs.com] pour vous assurer qu'il fonctionne correctement. | Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme [https://www.ssllabs.com/ssltest/ SSLLabs.com] pour vous assurer qu'il fonctionne correctement. | ||
− | |||
− | + | ====Archiver les vieux certificats==== | |
− | + | Une nouvelle fonction vous permet de nettoyer les vieux certificats et de les archiver. | |
− | + | dehydrated --cleanup (-gc) | |
− | + | ===Paramètres de configuration=== | |
− | + | {| class="wikitable" | |
− | + | !Clé | |
− | + | !propriété | |
− | + | !par défaut | |
− | + | !valeurs | |
− | + | ! | |
− | + | |- | |
+ | | rowspan="10" |letsencrypt | ||
+ | |ACCEPT_TERMS | ||
+ | | | ||
+ | |empty, yes | ||
+ | |configurer à « yes » pour accepter les termes du service ; si le paramètre est laissé à « empty », la contribution ne fonctionnera pas. | ||
+ | |- | ||
+ | |API | ||
+ | |2 | ||
+ | |1, 2 | ||
+ | |obsolète, sera toujours v2, car v1 est obsolète depuis juin 2021. | ||
+ | |- | ||
+ | |configure | ||
+ | |none | ||
+ | |none, all, domains, hosts | ||
+ | |cela changera le comportement par défaut sur les domaines ou les hôtes non explicites avec « letsencryptSSLcert enabled ». Par défaut, ne sera pas utilisé : si « hosts » est défini, demandera un certificat pour tous les hôtes ; si « domains » est définis, demandera un certificat pour tous les domaines ; si « all » est défini, demandera un certificat à la fois pour tous les domaines et pour tous les hôtes. Dans toutes les situations, il demandera un certificat pour les domaines/hôtes où « letsencryptSSLcert enabled » est défini et rien si « letsencryptSSLcert disabled » est défini. | ||
+ | |- | ||
+ | |email | ||
+ | | | ||
+ | |email | ||
+ | |entrer l'adresse courriel pour créer le compte et recevoir des mises à jour de Let's Encrypt. | ||
+ | |- | ||
+ | |hookScript | ||
+ | |disabled | ||
+ | |enabled, disabled | ||
+ | |déclenchera un script hook avancé s'il est activé, même s'il est désactivé, la partie signal-event ssl-update pour propager le certificat s'exécutera. | ||
+ | |- | ||
+ | |hostOverride | ||
+ | |disabled | ||
+ | |yes, disabled | ||
+ | |désactivé par défaut. S'il est désactivé, il ne demandera que le certificat pour les hôtes (si sélectionné selon la configuration et avec « letsencryptSSLcert enabled ») pour les hôtes avec type=Self. Si défini sur « yes », inclura tous les hôtes répertoriés, qu'ils soient distants ou locaux. | ||
+ | |- | ||
+ | |keysize | ||
+ | |4096 | ||
+ | |base 2 number | ||
+ | |longueur de la clé privée de votre certificat si vous ne voulez pas la '''valeur par défaut de 4096''' bits. Ce ne sera pas nécessaire dans la majorité des cas mais, si c'est désiré, utilisez cette commande pour le faire. | ||
+ | |- | ||
+ | |status | ||
+ | |test | ||
+ | |enabled, disabled, test | ||
+ | |par défaut, le statut est désactivé. '''Dans un premier temps, configurez sur « test »''' pour se connecter au serveur de test de Let's Encrypt afin de vérifier si votre serveur est bien configuré. Après avoir vérifié que tout va bien, vous pouvez configurer le statut sur « enabled ». | ||
+ | |} | ||
− | + | ==Dépannage== | |
− | + | Voir cette [[Letsencrypt/Troubleshooting |page (en anglais).]] | |
− | + | ==Fonctions avancées== | |
− | + | Voir cette [[Letsencrypt/Advanced/fr |page.]] | |
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | + | ==Désinstallation== | |
− | + | yum remove smeserver-letsencrypt letsencrypt | |
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | yum | ||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | |||
− | = | + | = Bogues = |
− | + | Veuillez ouvrir des bogues dans la section SME-Contribs dans [http://bugs.contribs.org/enter_bug.cgi bugzilla] | |
− | + | et sélectionner le composant smeserver-letsencrypt ou utiliser {{BugzillaFileBug|product=SME%20Contribs|component=smeserver-letsencrypt|title=ce lien.}} | |
{{#bugzilla:columns=id,product,version,status,summary |sort=id |order=desc |component=smeserver-letsencrypt |disablecache=1|noresultsmessage="No open bugs found."}} | {{#bugzilla:columns=id,product,version,status,summary |sort=id |order=desc |component=smeserver-letsencrypt |disablecache=1|noresultsmessage="No open bugs found."}} | ||
− | = | + | = Journal des modifications = |
− | + | Seules les versions publiées dans le dépôt smecontrib sont rapportées ici. | |
{{#smechangelog:smeserver-letsencrypt}} | {{#smechangelog:smeserver-letsencrypt}} | ||
− | [[Category:Howto/fr]] [[Category:Security]] | + | [[Category:Contrib/fr]] |
+ | [[Category:Howto/fr]] | ||
+ | [[Category:Security]] | ||
[[Category: Administration:Certificates]] | [[Category: Administration:Certificates]] |
Latest revision as of 17:38, 15 December 2023
letsencrypt logo | |
Maintainer | John Crisp |
---|---|
Url | https://github.com/dehydrated-io/dehydrated |
Licence | MIT license |
Category | |
Tags | dehydrated, letsencrypt, dns, http, ssl |
Mainteneur
John Crisp
Version
Description
Let’s Encrypt est une nouvelle Autorité de Certification (CA) : c'est gratuit, automatique et libre. Son but principal est de permettre aux gens de crypter leur trafic gratuitement, facilement et automatiquement. Les certificats délivrés doivent être renouvelés tous les 3 mois.
En décembre 2015, le service Letsencrypt était dans un stade bêta public. Let's Encrypt (LE) émet des certificats de confiance valides, mais le code du client (et, dans une moindre mesure, le code du serveur) est susceptible d'être dans un état fluctuant. Au cours des étapes initiales du bêta public, LE met en œuvre une limitation de débit, en n'autorisant pas plus de cinq certificats par domaine sur une période de sept jours consécutifs. Cela peut les rendre impropres aux utilisateurs de services DNS dynamiques. Les dernières informations sur la limitation des quantités sont publiées sur cette page de la documentation letsencrypt.org. Au 26 mars 2016, le nombre limite a été augmenté à 20 certificats par domaine par semaine.
Si vous allez faire des tests qui nécessiteraient de demander beaucoup de certificats dans un court laps de temps, nous vous encourageons à utiliser l'autorité de certification intermédiaire (staging CA) Letsencrypt à cette fin. Les certificats générés par cette CA ne seront pas approuvés par votre navigateur et sembleront être émis par « Fake LE Intermédiate X1 », mais il vous permettra de valider l'ensemble des outils et flux de travail.
L'état actuel des services Letsencrypt peut être trouvé sur leur page.
Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de dehydrated, un client alternatif mis en œuvre en tant que script shell BASH.
Prérequis
Le client et le serveur Letsencrypt interagissent pour confirmer que la personne demandant un certificat pour un nom d'hôte contrôle réellement cet hôte. Pour cette raison, il y a quelques prérequis pour votre configuration. Par exemple, si vous essayez d'obtenir un certificat pour www.exemple.com, les conditions suivantes doivent être remplies :
- www.exemple.com est un nom de domaine valide - le domaine a été enregistré et les enregistrements DNS sont publiés en ce sens ;
- la résolution de www.exemple.com aboutit à votre serveur SME - les enregistrements DNS publiés donnent l'adresse IP externe de votre serveur SME interrogé pour www.exemple.com ;
- votre serveur SME est connecté à Internet et est capable d'établir des connexions sortantes sur les ports 80 et 443 ;
- le port 80 de votre serveur SME est ouvert sur Internet (c'est-à-dire qu'Internet peut atteindre votre serveur sur le port 80) - vous n'êtes pas derrière un pare-feu ou un filtrage du FAI qui le bloquerait. Si vous avez rendu SSL obligatoire pour la baie d'information « Primary », le port 443 doit être ouvert.
Letsencrypt souhaite que les certificats d'émission incluent plusieurs noms d'hôte (par exemple, www.exemple.com, exemple.com et mail.exemple.com), qui feraient tous partie de la demande. Tout ce qui précède doit être vrai pour tous les noms d'hôte que vous souhaitez inclure dans le certificat.
Assurez-vous que vous avez toute cette configuration en place avant.
Préparation
Avant de commencer l'installation, effectuez une vérification pour voir si vous ou une contribution installée, auraient configuré des valeurs personnalisées sur votre certificat TLS/SSL :
# config show modSSL
Par défaut, cela devrait afficher :
modSSL=service TCPPort=443 access=public status=enabled
Si cela affiche des valeurs pour crt, key ou CertificateChainFile, notez-les. Si vous rencontrez un problème avec les fichiers du certificat généré par Letsencrypt, vous pourrez revenir à vos modifications. Pour effectuer une «sauvegarde» de votre clé et de vos propriétés existantes, vous pouvez émettre :
config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)"
Installation de la contribution de Dehydrated letsencrypt
John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME.
yum install smeserver-letsencrypt
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ».
Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled signal-event yum-modify
Installation
yum install smeserver-letsencrypt signal-event console-save
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ». Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled signal-event yum-modify
Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » :
Ré-actualisation
Quelques problèmes signalés lors de la mise à niveau des contributions, voir Bugzilla:10286 and Bugzilla:10097
Une mise à jour complète peut être effectuée comme suit :
yum update smeserver-letsencrypt dehydrated config setprop letsencrypt ACCEPT_TERMS yes signal-event console-save
Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés.
Configuration
Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat.
Exemples de démarrage rapide
Pour le test (régler les domaines et les hôtes) :
config setprop letsencrypt ACCEPT_TERMS yes status test # tâche très rapide pour activer le domaine principal : db domains setprop $(config get DomainName) letsencryptSSLcert enabled #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : db domains setprop domain1.com letsencryptSSLcert enabled #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : db hosts setprop www.domain1.com letsencryptSSLcert enabled signal-event smeserver-letsencrypt-update dehydrated -c
config setprop letsencrypt ACCEPT_TERMS yes status test API 2 #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : db domains setprop domain1.com letsencryptSSLcert enabled #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : db hosts setprop www.domain1.com letsencryptSSLcert enabled signal-event console-save dehydrated -c
Vérifiez que les certificats sont valables (votre fureteur détectera encore une erreur mais vous pouvez explorer le contenu du certificat pour voir que l'Autorité de Certification (CA en anglais) a été utilisée pour signer votre certificat SSL et que tous vos domaines et hôtes sont dans la propriété « Autre nom de l'objet du certificat ».
Pour la production (régler votre adresse électronique):
config setprop letsencrypt status enabled email admin@$(config get DomainName) signal-event smeserver-letsencrypt-update dehydrated -c -x
config setprop letsencrypt status enabled email admin@domain1.com signal-event console-save dehydrated -c -x
Configuration étape par étape
Hôtes et domaines du certificat
Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui :
- sont configurés sur votre serveur KOOZALI SME (par exemple via le gestionnaire du serveur), et
- sont configurés pour utiliser Let's Encrypt.
Par exemple, votre serveur KOOZALI SME peut contenir les domaines et les noms d'hôtes suivants :
- domaine1.com
- www.domaine1.com
- mail.domaine1.com
- ftp.domaine1.com
- domaine2.com
- www.domaine2.com
- mail.domaine2.com
Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande :
db domains setprop $DOMAINE letsencryptSSLcert enabled
En utilisant l'exemple ci-dessus, une invocation de la commande ressemblerait à ceci :
db domains setprop domaine1.com letsencryptSSLcert enabled
Pour chaque NOM_D_HOTE que vous voulez voir inclus dans le certificat, exécutez cette commande :
db hosts setprop $NOM_D_HOTE letsencryptSSLcert enabled
En utilisant l'exemple ci-dessus, une invocation de la commande ressemblerait à ceci :
db hosts setprop www.domaine1.com letsencryptSSLcert enabled
Vous pouvez obtenir un certificat pour l'un des ensembles suivants :
- tous les domaines,
- tous les noms d'hôtes ou
- tous les domaines ET les noms d'hôtes.
Définissez uniquement l'un des ensembles suivants.
config setprop letsencrypt configure domains
config setprop letsencrypt configure hosts
config setprop letsencrypt configure all
Pour utiliser des hôtes ou des domaines activés individuellement, laissez le paramètre par défaut « none ».
config setprop letsencrypt configure none
Avec la configuration du système décrite ci-dessus :
- la définition de « domains » obtiendra un certificat couvrant domain1.com et domain2.com, mais pas www.domain1.com, etc. ;
- le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ;
- le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. Voyez cette NOTE en anglais avant de régler ce paramètre sur « all ».
Activer le mode test
Après avoir installé et configuré tous les domaines et hôtes, l'étape suivante consiste à utiliser le mode test, qui est activé par défaut. Cela procurera des certificats du serveur intermédiaire. Les limites renouvellement exposées dans l'introduction ne s'appliqueront pas, donc toute erreur ou tout autre problème ne vous empêcheront pas d'obtenir votre certificat de production. Activer le mode test en utilisant cette commande :
config setprop letsencrypt status test signal-event console-save
Vous pouvez maintenant exécuter « dehydrated » pour la première fois et vous assurer qu'il est capable de se connecter aux serveurs de Let's Encrypt, de valider les noms d'hôtes que vous demandez et d'émettre des certificats. Pour ce faire, exécutez :
dehydrated -c
S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir Bugzilla:10300.
Si cela fonctionne sans erreur, essayez de vous connecter à la page du gestionnaire de votre serveur. Vous devriez voir une erreur indiquant que le certificat de sécurité n'a pas été émis par une autorité de certification approuvée. C'est parfaitement normal. Cependant, il devrait y avoir un certificat, il devrait inclure tous les noms d'hôte que vous vouliez inclure, et il devrait être valide pour les quatre-vingt-dix prochains jours. Si cela a réussi, passez à la production.
Activer le mode production
Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes :
config setprop letsencrypt status enabled signal-event console-save
Procurez-vous ensuite un nouveau certificat à partir du serveur de production Let's Encrypt :
dehydrated -c -x
L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours.
Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement perpétuellement.
Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme SSLLabs.com pour vous assurer qu'il fonctionne correctement.
Archiver les vieux certificats
Une nouvelle fonction vous permet de nettoyer les vieux certificats et de les archiver.
dehydrated --cleanup (-gc)
Paramètres de configuration
Clé | propriété | par défaut | valeurs | |
---|---|---|---|---|
letsencrypt | ACCEPT_TERMS | empty, yes | configurer à « yes » pour accepter les termes du service ; si le paramètre est laissé à « empty », la contribution ne fonctionnera pas. | |
API | 2 | 1, 2 | obsolète, sera toujours v2, car v1 est obsolète depuis juin 2021. | |
configure | none | none, all, domains, hosts | cela changera le comportement par défaut sur les domaines ou les hôtes non explicites avec « letsencryptSSLcert enabled ». Par défaut, ne sera pas utilisé : si « hosts » est défini, demandera un certificat pour tous les hôtes ; si « domains » est définis, demandera un certificat pour tous les domaines ; si « all » est défini, demandera un certificat à la fois pour tous les domaines et pour tous les hôtes. Dans toutes les situations, il demandera un certificat pour les domaines/hôtes où « letsencryptSSLcert enabled » est défini et rien si « letsencryptSSLcert disabled » est défini. | |
entrer l'adresse courriel pour créer le compte et recevoir des mises à jour de Let's Encrypt. | ||||
hookScript | disabled | enabled, disabled | déclenchera un script hook avancé s'il est activé, même s'il est désactivé, la partie signal-event ssl-update pour propager le certificat s'exécutera. | |
hostOverride | disabled | yes, disabled | désactivé par défaut. S'il est désactivé, il ne demandera que le certificat pour les hôtes (si sélectionné selon la configuration et avec « letsencryptSSLcert enabled ») pour les hôtes avec type=Self. Si défini sur « yes », inclura tous les hôtes répertoriés, qu'ils soient distants ou locaux. | |
keysize | 4096 | base 2 number | longueur de la clé privée de votre certificat si vous ne voulez pas la valeur par défaut de 4096 bits. Ce ne sera pas nécessaire dans la majorité des cas mais, si c'est désiré, utilisez cette commande pour le faire. | |
status | test | enabled, disabled, test | par défaut, le statut est désactivé. Dans un premier temps, configurez sur « test » pour se connecter au serveur de test de Let's Encrypt afin de vérifier si votre serveur est bien configuré. Après avoir vérifié que tout va bien, vous pouvez configurer le statut sur « enabled ». |
Dépannage
Voir cette page (en anglais).
Fonctions avancées
Voir cette page.
Désinstallation
yum remove smeserver-letsencrypt letsencrypt
Bogues
Veuillez ouvrir des bogues dans la section SME-Contribs dans bugzilla et sélectionner le composant smeserver-letsencrypt ou utiliser ce lien.
ID | Product | Version | Status | Summary (10 tasks) ⇒ |
---|---|---|---|---|
12325 | SME Contribs | 10.0 | CONFIRMED | renewal fails after domain deleted from manager. |
11796 | SME Contribs | Futur | CONFIRMED | Is the dns-01 Challenge Supported or is it in planing? |
11442 | SME Contribs | 10alpha | CONFIRMED | multiple fragments related to some other bugs |
10920 | SME Contribs | 10alpha | CONFIRMED | move .well-known/acme-challenge out of the Primary ibay |
10836 | SME Contribs | 9.2 | CONFIRMED | force migration from acme-v1 to acme-v2 |
10818 | SME Contribs | 9.2 | CONFIRMED | template does not respect domain-deleted |
10656 | SME Contribs | 9.2 | CONFIRMED | No letsencrypt certificate for Internet enable password protected Ibay |
10483 | SME Contribs | 9.2 | CONFIRMED | renewal fails with ibay using password |
10462 | SME Contribs | Futur | CONFIRMED | NFR: implement per certificate / domain |
10280 | SME Contribs | 9.2 | CONFIRMED | add test for domain and host to disable the one at least defined in publicly available dns |
Journal des modifications
Seules les versions publiées dans le dépôt smecontrib sont rapportées ici.
- Re-build and link to latest devtools [SME: 11997]
- add to core backup [SME: 12011]
- Add action to check if dehydrated.timer is running and stop it if so [SME: 11996]
- Stop systemd timer runnning as well as cron [SME: 11990]
- use a general Alias for acme path and a proxypass [SME: 10637]