Aller au contenu

Certificats SSL

Un certificat SSL permet de publier votre site en HTTPS : les échanges avec vos visiteurs sont chiffrés et le navigateur affiche le cadenas. Deux solutions sont proposées dans Services > votre hébergement > Publication web :

  • Générateur Let’s Encrypt : un certificat gratuit, créé et renouvelé automatiquement ;
  • Dépôt certificats SSL : l'import d'un certificat que vous avez obtenu ailleurs (YULPA ne vend pas de certificat).

Dans les deux cas, le certificat est relié automatiquement aux domaines web qu'il couvre. Le nombre de certificats utilisables dépend de votre offre.

Une fois le certificat en place, choisissez le mode de publication HTTP redirige sur HTTPS (conseillé) sur la page du domaine (voir Publication web).

Let's Encrypt (gratuit)

Conditions

  • Le domaine doit être publié sur l'hébergement (rôle Publication web actif).
  • Le domaine doit pointer vers l'hébergement dans le DNS : Let's Encrypt vérifie le domaine en contactant votre site. Un domaine qui pointe ailleurs (autre hébergeur, CloudFlare en mode proxy…) est refusé.
  • Le domaine ne doit pas déjà être couvert par un autre certificat (importé ou Let's Encrypt).
  • Si votre zone DNS contient des entrées CAA, elles doivent autoriser letsencrypt.org.

Créer un certificat

Depuis la page du domaine :

  1. Ouvrez Publication web > Domaines web, puis cliquez sur le domaine.
  2. Dans Configuration SSL, ligne SSL by Let’s Encrypt, cliquez sur Créer un certificat Let’s Encrypt.
  3. Vérifiez le Domaine à couvrir (ses ServerAlias, par exemple www, sont indiqués entre parenthèses), puis cliquez sur Valider.

Ou depuis le générateur, pour couvrir plusieurs domaines avec un seul certificat :

  1. Ouvrez Publication web > Générateur Let’s Encrypt.
  2. Cliquez sur Créer un certificat Let’s Encrypt.
  3. Sélectionnez les Domaines à couvrir, puis cliquez sur Valider.

La génération prend quelques minutes. Le certificat est ensuite importé automatiquement dans le Dépôt certificats SSL et appliqué au site après mise en production.

Renouvellement

Un certificat Let's Encrypt est valable 90 jours au maximum. Il est renouvelé automatiquement 10 jours avant son expiration, sans intervention de votre part, tant que vous ne le supprimez pas. La liste du générateur affiche pour chaque certificat ses dates de validité et la Date de la prochaine génération.

Le bouton Régénérer force un renouvellement immédiat : le certificat actuel est révoqué auprès de Let's Encrypt, un nouveau est généré puis importé dans le dépôt SSL.

Supprimer un certificat Let's Encrypt

Dans Générateur Let’s Encrypt, cliquez sur Supprimer sur la ligne du certificat, confirmez, puis validez. Le certificat est révoqué, son renouvellement automatique s'arrête et il est retiré immédiatement de la publication. Les autres domaines couverts par le même certificat, listés dans la fenêtre de confirmation, perdent aussi leur certificat.

Importer un certificat

Pour importer un certificat acheté auprès d'une autorité de certification, ou un certificat d'origine CloudFlare :

  1. Ouvrez Publication web > Dépôt certificats SSL et cliquez sur Importer un certificat (le même bouton est proposé sur la page d'un domaine sans certificat, bloc Configuration SSL).
  2. Dans Certificat, collez le certificat au format PEM, en incluant les lignes -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----.
  3. Dans Clé privée, collez la clé privée, en incluant -----BEGIN PRIVATE KEY----- et -----END PRIVATE KEY-----.
  4. Cliquez sur Valider.

Attention

  • La clé privée ne doit pas être protégée par un mot de passe.
  • Ne fournissez pas les certificats intermédiaires de l'autorité : YULPA se charge de les récupérer.
  • Un certificat importé n'est pas renouvelé automatiquement : importez le nouveau certificat avant la date de fin.

Le dépôt liste chaque certificat avec son numéro de série, ses dates de début et de fin, son type de signature et les Domaines couvert. Le bouton de visualisation affiche le détail : signataire, domaine principal (CN), domaines couverts, dates de validité et chaîne de certification détectée.

Supprimer un certificat importé

Dans Dépôt certificats SSL, cliquez sur Supprimer sur la ligne du certificat, cochez Je confirme la suppression immédiate, puis cliquez sur Valider. La publication du certificat est retirée immédiatement pour tous les domaines qu'il couvre.

Utiliser CloudFlare

Si votre site est placé derrière CloudFlare (serveurs DNS de CloudFlare, mode proxy activé), les visiteurs se connectent à CloudFlare, qui se connecte ensuite à votre hébergement YULPA. Le chiffrement entre CloudFlare et YULPA dépend du mode SSL/TLS choisi chez CloudFlare.

Mode CloudFlare Avec YULPA
Désactivé ou Flexible Fortement déconseillé : la liaison entre CloudFlare et YULPA n'est pas chiffrée. Avec le mode de publication HTTP redirige sur HTTPS, le site tourne en boucle de redirections.
Complet Possible : un certificat doit être présent chez YULPA (un certificat d'origine CloudFlare convient).
Complet (strict) Conseillé : chiffrement de bout en bout avec un certificat reconnu par CloudFlare, par exemple son certificat d'origine.

Comme le domaine pointe vers CloudFlare, Let's Encrypt ne peut pas être utilisé chez YULPA. Utilisez le certificat d'origine de CloudFlare :

  1. Chez CloudFlare, ouvrez SSL/TLS pour votre domaine et choisissez le mode Complet (strict) (ou Complet).
  2. Dans Serveur d'origine, cliquez sur Créer un certificat. Laissez CloudFlare générer la clé privée, gardez les noms d'hôtes proposés (exemple.fr et *.exemple.fr) et choisissez la durée de validité la plus longue : vous n'aurez pas à le remplacer souvent.

  3. Gardez le format PEM et copiez le certificat et la clé privée, sans ajouter de caractère ni de ligne.

    Danger

    La clé privée ne peut plus être récupérée une fois la fenêtre fermée chez CloudFlare. Copiez-la avant de cliquer sur OK.

  4. Dans le manager, importez ce certificat et cette clé comme décrit dans Importer un certificat. Le certificat apparaît comme signé par CloudFlare Origin Certificate.

  5. Sur la page du domaine, laissez le mode de publication HTTP redirige sur HTTPS (conseillé) et validez avec Confirmation nécessaire.

Le certificat d'origine CloudFlare n'est reconnu que par CloudFlare : si vous désactivez le proxy CloudFlare, les visiteurs verront une alerte de sécurité. Passez alors à Let's Encrypt.

Le bouton « Créer un certificat Let’s Encrypt » est grisé

Soit le domaine a déjà un certificat (importé ou Let's Encrypt), soit la limite de certificats de votre offre est atteinte, soit vous n'avez pas les droits suffisants sur le service. Survolez le bouton pour afficher la raison.

La génération Let's Encrypt est refusée : le domaine ne pointe pas vers l'infrastructure

Vérifiez dans votre zone DNS que le domaine (et chaque nom couvert, comme www) pointe vers l'adresse IP de l'hébergement, et attendez la propagation DNS avant de réessayer. Voir Zones DNS.