Se connecter
Inscription
Mot de passe perdu
Supprimer un message
Hellow,
Le HTTPS c'est le bien, et let's encrypt c'est vraiment super pratique. Plutôt que de réinventer la roue, voici quelques infos/scripts pour ma part, de quoi faire votre config dans votre coin.
Pour info, c'est sur base de Fedora et Lighttpd, si vous avez un Apache, Nginx ou autre, il faudra adapter.
Primo, le site:
https://letsencrypt.org/
Ca, c'est joli, mais concrètement, il faut surtout installer le certbot, que voici pour toutes les distros:
https://certbot.eff.org/
Une fois le truc installé, il faut le lancer avec une commande du genre
certbot certonly --expand --webroot -w /var/www/html/votredomaine/ -d votredomaine.be
Il va créer tous les fichiers kivonbien dans /etc/letsencrypt.
De là, je me suis créé un script qui va tourner chaque semaine, dans /etc/cron.weekly/renew.sh par exemple.
/usr/bin/certbot renew
cd /etc/letsencrypt/live/votredomaine/
cat privkey.pem cert.pem > moncertif.pem
rm -f /etc/lighttpd/ssl/moncertif.pem
mv /etc/letsencrypt/live/votredomaine/moncertif.pem /etc/lighttpd/ssl/moncertif.pem
/sbin/service lighttpd restart
Il y a plus gracieux, mais un restart de 2s par semaine, bah...
Ensuite, il faut ajouter le certificat dans lighttpd.conf:
$SERVER["socket"] == ":443" {
ssl.engine = "enable"
ssl.pemfile = "/etc/lighttpd/ssl/moncertif.pem"
ssl.ca-file = "/etc/lighttpd/ssl/letsencrypt.pem"
}
Ne pas oublié bien sûr le certificat intermédiaire, pour moi c'était celui-ci (sinon Google, letsencrypt intermediate):
/etc/lighttpd/ssl/letsencrypt.pem
Puis idéalement, si vous voulez passer tout le monde en HTTPS, il faut une petite regexp du genre dans lighttpd.conf. A adapter selon vos besoins.
$HTTP["scheme"] == "http" {
$HTTP["host"] =~ "^([a-zA-Z0-9]+.)?votredomaine.com$" {
url.rewrite-repeat = (
),
url.redirect = ( "^/(.*)" => "https://%1votredomaine.com/$1")
}
}
Et bam.
Oubliez pas de valider que la config est correcte après avec un truc du genre:
https://www.sslshopper.com/ssl-checker.html
L'erreur la plus courante étant d'oublier le certificat intermédiaire, et alors sous Android / iOS, votre certificat sera refusé, ça fait mauvais genre.
Have fun!
Le HTTPS c'est le bien, et let's encrypt c'est vraiment super pratique. Plutôt que de réinventer la roue, voici quelques infos/scripts pour ma part, de quoi faire votre config dans votre coin.
Pour info, c'est sur base de Fedora et Lighttpd, si vous avez un Apache, Nginx ou autre, il faudra adapter.
Primo, le site:
https://letsencrypt.org/
Ca, c'est joli, mais concrètement, il faut surtout installer le certbot, que voici pour toutes les distros:
https://certbot.eff.org/
Une fois le truc installé, il faut le lancer avec une commande du genre
certbot certonly --expand --webroot -w /var/www/html/votredomaine/ -d votredomaine.be
Il va créer tous les fichiers kivonbien dans /etc/letsencrypt.
De là, je me suis créé un script qui va tourner chaque semaine, dans /etc/cron.weekly/renew.sh par exemple.
/usr/bin/certbot renew
cd /etc/letsencrypt/live/votredomaine/
cat privkey.pem cert.pem > moncertif.pem
rm -f /etc/lighttpd/ssl/moncertif.pem
mv /etc/letsencrypt/live/votredomaine/moncertif.pem /etc/lighttpd/ssl/moncertif.pem
/sbin/service lighttpd restart
Il y a plus gracieux, mais un restart de 2s par semaine, bah...
Ensuite, il faut ajouter le certificat dans lighttpd.conf:
$SERVER["socket"] == ":443" {
ssl.engine = "enable"
ssl.pemfile = "/etc/lighttpd/ssl/moncertif.pem"
ssl.ca-file = "/etc/lighttpd/ssl/letsencrypt.pem"
}
Ne pas oublié bien sûr le certificat intermédiaire, pour moi c'était celui-ci (sinon Google, letsencrypt intermediate):
/etc/lighttpd/ssl/letsencrypt.pem
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----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-----END CERTIFICATE-----
Puis idéalement, si vous voulez passer tout le monde en HTTPS, il faut une petite regexp du genre dans lighttpd.conf. A adapter selon vos besoins.
$HTTP["scheme"] == "http" {
$HTTP["host"] =~ "^([a-zA-Z0-9]+.)?votredomaine.com$" {
url.rewrite-repeat = (
),
url.redirect = ( "^/(.*)" => "https://%1votredomaine.com/$1")
}
}
Et bam.
Oubliez pas de valider que la config est correcte après avec un truc du genre:
https://www.sslshopper.com/ssl-checker.html
L'erreur la plus courante étant d'oublier le certificat intermédiaire, et alors sous Android / iOS, votre certificat sera refusé, ça fait mauvais genre.
Have fun!
