{"id":885,"date":"2022-05-08T17:48:26","date_gmt":"2022-05-08T15:48:26","guid":{"rendered":"https:\/\/techtocraft.xyz\/?p=885"},"modified":"2023-08-09T11:18:04","modified_gmt":"2023-08-09T09:18:04","slug":"certificat-ssl-gratuit-par-lets-encrypt","status":"publish","type":"post","link":"https:\/\/hinakuu.xyz\/?p=885","title":{"rendered":"Debian Apache & certificat SSL gratuit par Let’s Encrypt"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n

Pr\u00e9sentation<\/mark><\/strong><\/h4>\n\n\n\n

Depuis quelques ann\u00e9es maintenant, il est possible de b\u00e9n\u00e9ficier d’un certificat SSL gratuitement par l’interm\u00e9diaire de Let’s Encrypt<\/strong>. Cette autorit\u00e9 de certification publie des certificats reconnus par les navigateurs. Les certificats d\u00e9livr\u00e9s sont valables pour une dur\u00e9e de 90 jours mais il est facile de mettre en place un renouvellement automatique pour \u00e9viter tout d\u00e9sagr\u00e9ment.<\/p>\n\n\n\n

Dans ce tutoriel, nous allons effectuer une demande de certificat Let’s Encrypt et l’int\u00e9grer sur un site sous Apache, le tout sous Debian. <\/strong>On s’appuiera sur l’outil certbot.<\/p>\n\n\n\n

Installation des d\u00e9pendances et de certbot<\/mark><\/strong><\/p>\n\n\n\n

Commencez par installer des d\u00e9pendances sur votre serveur :<\/p>\n\n\n\n

sudo apt-get update<\/mark>\nsudo apt-get install software-properties-common<\/mark><\/pre>\n\n\n\n
Pour l’installation du paquet \u00ab\u00a0python-certbot-apache<\/strong>\u00ab\u00a0, on va aller piocher dans les paquets backports de Debian Stretch. Ceci nous permettra d’avoir une version encore plus r\u00e9cente du paquet. J’ai utilis\u00e9 cette m\u00e9thode pour l’installation car sinon j’obtenais une erreur de Python lors de l’utilisation de certbot.<\/p>\n\n\n\n
Cette m\u00e9thode implique d’ajouter une source de paquets suppl\u00e9mentaire :<\/p>\n\n\n\n
sudo vim \/etc\/apt\/sources.list<\/mark><\/pre>\n\n\n\n
Int\u00e9grez cette ligne au fichier sources.list :<\/p>\n\n\n\n
deb http:\/\/ftp.debian.org\/debian stretch-backports main<\/mark><\/pre>\n\n\n\n
On va proc\u00e9der \u00e0 l’actualisation des paquets et \u00e0 l’installation du paquet python-certbot-apache \u00e0 partir du d\u00e9p\u00f4t que l’on a renseign\u00e9 pr\u00e9c\u00e9demment. Voici la commande \u00e0 utiliser :<\/p>\n\n\n\n
sudo apt-get update<\/mark>\nsudo apt-get install python-certbot-apache -t stretch-backports<\/mark><\/pre>\n\n\n\n
Demander un certificat avec certbot<\/mark><\/strong><\/p>\n\n\n\n
Lorsque l’installation sera termin\u00e9e, nous allons utiliser Certbot pour effectuer une demande de certificat.<\/p>\n\n\n\n
Un challenge se d\u00e9clenche pendant la demande de certificat pour v\u00e9rifier que la demande est valide et le site web bien disponible sur Internet. Pour que certbot utilise son propre serveur web int\u00e9gr\u00e9, on va utiliser l’option \u00ab\u00a0–standalone<\/strong>\u00ab\u00a0. On va ensuite lui indiquer, via l’option \u00ab\u00a0–preferred-challenges<\/strong>\u00ab\u00a0, de faire son challenge sur le port 80 avec la valeur http<\/em> ou 443 pour HTTPS avec la valeur tls-sni<\/em>. Enfin, on va devoir pr\u00e9ciser le domaine pour lequel on effectue la demande de certificat, ceci s’effectue via l’option \u00ab\u00a0-d<\/strong>\u00ab\u00a0.<\/p>\n\n\n\n
Voici un exemple de commande pour le domaine \u00ab\u00a0www.mon-domaine.fr\u00a0\u00bb :<\/p>\n\n\n\n
sudo certbot certonly --standalone --preferred-challenges http -d www.mon-domaine.fr<\/mark>\n\n\/!\\ Attention si vous rencontrez l'erreur : <\/strong>\nProblem binding to port 80: Could not bind to IPV4 or IPV6<\/mark>\n\nArr\u00eater le service Apache puis relancer la commande\n\nsystemctl stop apache2<\/pre>\n\n\n\n
Pendant le processus de demande de certificat, vous devrez indiquer une adresse e-mail. Celle-ci est notamment utilis\u00e9e pour vous avertir lorsque le certificat arrive bient\u00f4t \u00e0 expiration.<\/p>\n\n\n\n
Maintenant, on a en notre possession les fichiers n\u00e9cessaires \u00e0 la mise en place du certificat SSL. Ces fichiers se situent \u00e0 l’emplacement suivant : \/etc\/letsencrypt\/live\/<votre-domaine>\/<\/strong><\/p>\n\n\n\n
Vous y trouverez trois fichiers : cert.pem, privkey.pem et chain.pem.<\/strong><\/p>\n\n\n\n
Configurer le vhost d’Apache<\/mark><\/strong><\/p>\n\n\n\n
Il faut que l’on adapte notre VirtualHost Apache du site SSL pour int\u00e9grer le chargement des fichiers du certificat. Il est n\u00e9cessaire d’utiliser cinq options diff\u00e9rentes, comme on le ferait avec tout certificat SSL.<\/p>\n\n\n\n
Voici les lignes \u00e0 int\u00e9grer au vHost (adaptez le chemin selon votre domaine) :<\/p>\n\n\n\n
SSLEngine on\nSSLProtocol all -SSLv2\nSSLCertificateFile \/etc\/letsencrypt\/live\/www.mon-domaine.fr\/cert.pem\nSSLCertificateKeyFile \/etc\/letsencrypt\/live\/www.mon-domaine.fr\/privkey.pem\nSSLCertificateChainFile \/etc\/letsencrypt\/live\/www.mon-domaine.fr\/chain.pem<\/pre>\n\n\n\n
Enregistrez la configuration.
Activez le module SSL sur Apache avec la commande suivante :<\/p>\n\n\n\n
<\/p>\n\n\n\n
sudo a2enmod ssl<\/mark><\/pre>\n\n\n\n
Enfin, si besoin, activez votre site Apache SSL. Par exemple, si le fichier de configuration du vHost se nomme \u00ab\u00a0www.mon-domaine.fr\u00a0\u00bb :<\/p>\n\n\n\n
sudo a2ensite www.mon-domaine.fr.conf<\/mark><\/pre>\n\n\n\n
Pour passer en production cette nouvelle configuration, nous allons recharger Apache :<\/p>\n\n\n\n
sudo systemctl reload apache2<\/mark><\/pre>\n\n\n\n
Pour terminer, nous allons automatiser le renouvellement du certificat avec un script en t\u00e2che planifi\u00e9e.<\/p>\n\n\n\n
Renouvellement via certbot<\/mark><\/strong><\/p>\n\n\n\n
On va cr\u00e9er un fichier sh contenant notre script :<\/p>\n\n\n\n
nano \/usr\/bin\/certbot-renew.sh<\/mark><\/pre>\n\n\n\n
Comme il s’agit d’un script, le fichier doit \u00eatre ex\u00e9cutable, on ajoute ce droit :<\/p>\n\n\n\n
chmod +x \/usr\/bin\/certbot-renew.sh<\/mark><\/pre>\n\n\n\n
Enfin, voici le contenu du script qui va simplement ex\u00e9cuter le binaire certbot<\/em> avec l’option renew<\/em>. <\/p>\n\n\n\n
Un fichier de log sera g\u00e9n\u00e9r\u00e9 au chemin \/var\/log\/certbot-renew.log<\/em>\u00ab\u00a0.<\/p>\n\n\n\n
#!\/bin\/bash<\/mark>\ncd \/usr\/bin\n.\/certbot renew >> \/var\/log\/certbot-renew.log\nservice apache2 reload\nexit 0<\/mark><\/pre>\n\n\n\n
Pour lancer automatiquement le script, on va \u00e9diter la crontab (gestion des t\u00e2ches planifi\u00e9es) :<\/p>\n\n\n\n
crontab -e<\/mark><\/pre>\n\n\n\n
L’exemple ci-dessous permet d’ex\u00e9cuter l’action de renouvellement tous les jours \u00e0 05 heures du matin. Le certificat sera renouvel\u00e9 si n\u00e9cessaire et non tous les jours.<\/p>\n\n\n\n
Ce qui donne :<\/p>\n\n\n\n
0 5 <\/mark>* * * \/usr\/bin\/certbot-renew.sh<\/pre>\n\n\n\n
Il ne reste plus qu’\u00e0 enregistrer la crontab.<\/p>\n\n\n\n
Renouvellement d\u2019un certificat let\u2019s encrypt & redirection de port<\/h2>\n\n\n\n
certbot-renews.sh \n\nou \n\nsudo certbot renew<\/pre>\n\n\n\n
Si vous avez plusieurs certificats pour diff\u00e9rents domaines et que vous souhaitez renouveler un certificat sp\u00e9cifique, utilisez\u00a0:<\/p>\n\n\n\n
certbot certonly --force-renew -d example.com<\/pre>\n\n\n\n
Cas d’erreur :<\/h3>\n\n\n\n
Failed to renew certificate mon.site.com with error: Problem binding to port 80: Could not bind to IPv4 or IPv6. All renewals failed. The following certificates could not be renewed: \/etc\/letsencrypt\/live\/mon.site.com\/fullchain.pem (failure) 1 renew failure(s), 0 parse failure(s)<\/mark><\/strong><\/p>\n\n\n\n
Pour renouveler le certificat SSL vous devez d\u00e9sactiver apache le temps de lancer la commande :<\/p>\n\n\n\n
systemctl stop apache2\ncertbot-renews.sh\nsystemctl start apache2<\/pre>\n\n\n\n
Autre possibilit\u00e9 :<\/p>\n\n\n\n
    \n
  • v\u00e9rifier les r\u00e8gles de votre pare-feu et le port forward<\/li>\n\n\n\n
  • v\u00e9rifier si le port 80 est bien configurer dans le fichier \/etc\/apache2\/ports.conf<\/li>\n\n\n\n
  • v\u00e9rifier si le port 80 est bien configurer dans \/etc\/apache2\/sites-available\/votre.site.conf<\/li>\n<\/ul>\n\n\n\n
    Pour v\u00e9rifier que le certificat a \u00e9t\u00e9 renouvel\u00e9, ex\u00e9cutez\u00a0:<\/p>\n\n\n\n
    sudo certbot renew --dry-run<\/pre>\n","protected":false},"excerpt":{"rendered":"
    Pr\u00e9sentation Depuis quelques ann\u00e9es maintenant, il est possible de b\u00e9n\u00e9ficier d’un certificat SSL gratuitement par l’interm\u00e9diaire de Let’s<\/p>\n","protected":false},"author":1,"featured_media":856,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-885","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-linux"],"_links":{"self":[{"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/posts\/885","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=885"}],"version-history":[{"count":28,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/posts\/885\/revisions"}],"predecessor-version":[{"id":2103,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/posts\/885\/revisions\/2103"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=\/wp\/v2\/media\/856"}],"wp:attachment":[{"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=885"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=885"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hinakuu.xyz\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=885"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}