Certificats SSL/TLS
Vos serveurs présentent un certificat à chaque nouvelle connexion, et les clés d'accès d'une ferme de serveurs en intègrent un par défaut. MANAGER en génère automatiquement un pour chaque nouvelle ferme, et peut obtenir et renouveler un certificat de confiance auprès de Let's Encrypt en toute autonomie.
Où les trouver
Accédez à Server Farms puis sélectionnez la ferme voulue : l'onglet SSL / TLS Certificates affiche la liste, et un repère signale le certificat inclus dans les clés. Cliquez sur le titre de la liste pour voir tous les détails, y compris le Mode et la Priority de chaque certificat.
Chaque nouvelle ferme reçoit un certificat auto-signé avec un nom généré automatiquement, présent dans ses clés tant que vous n'en choisissez pas un autre.
La page dédiée d'un serveur affiche cette même liste, limitée aux certificats réservés à ce serveur uniquement.
Paramètres d'un certificat
Cliquez sur le nom de domaine d'un certificat pour le modifier.
- Visibility définit la portée du nom de domaine. PublicInToken l'intègre à chaque clé de la ferme ; un seul certificat peut utiliser ce statut, et l'attribuer à un autre passe le précédent en Public. Un certificat Public attribué à un serveur unique, s'il est CA Signed, n'est transmis aux applications que lorsque MANAGER les achemine vers ce serveur. Un certificat Private n'est jamais partagé. Quel que soit votre choix, les serveurs présentent le certificat aux applications qui en demandent le domaine.
- Signing définit le mode de signature. Manual conserve l'état actuel. AutoSign active la signature Let's Encrypt et le renouvellement automatique via MANAGER. DomainOnly s'applique à un domaine dont le certificat est hébergé ailleurs : MANAGER ne l'installe pas sur les serveurs et les clés ne peuvent pas l'intégrer.
- Used By peut valoir Server Farm (tous les serveurs de la ferme) ou cibler un serveur unique. Laissez le certificat présent dans les clés assigné à Server Farm afin que chaque serveur puisse le présenter aux applications clientes.
- Priority (Normal, Low ou Lowest) ordonne les domaines des certificats Public lorsque MANAGER en propose plusieurs aux applications. Cela ne modifie pas le certificat présenté par un serveur.
- Signature indique CA Signed s'il est validé par une autorité de certification, ou Self-Signed dans le cas contraire. Les applications vérifient un certificat CA Signed comme le fait un navigateur (via l'autorité et le nom de domaine), ce qui garantit la validité continue des clés après renouvellement. Un certificat Self-Signed est validé uniquement selon l'empreinte contenue dans la clé.
- Description est une note personnelle. MANAGER n'en tient pas compte.
Ajouter un certificat
Sous SSL / TLS Certificates, sélectionnez Add, saisissez un Domain Name et cliquez sur Create. MANAGER crée alors un certificat auto-signé pour ce domaine, configuré sur Public et Manual, puis l'affiche. Les autres champs servent uniquement à compléter les informations du certificat.
S'il est ajouté directement depuis la page d'un serveur, le certificat est utilisé exclusivement par ce dernier.
Pour le faire signer par une autorité de certification, réglez Signing sur AutoSign. Consultez le guide Utiliser un nom de domaine et un certificat approuvé pour voir la procédure détaillée et l'intégration du domaine dans les clés.
AutoSign
Avec AutoSign, MANAGER demande à Let's Encrypt de signer un certificat pour le domaine. Let's Encrypt valide ce domaine par simple requête HTTP sur le port TCP 80 : le domaine doit donc pointer vers l'un des serveurs de la ferme, avec ce port ouvert. MANAGER commence par effectuer lui-même ce test. Pendant la procédure, Signing affiche Validating....
Environ 30 jours avant l'expiration du certificat, MANAGER le renouvelle automatiquement. Les certificats Let's Encrypt restent valides 90 jours.
Si une validation échoue, Signing affiche la cause en rouge. MANAGER fait un nouvel essai environ une fois par jour. Au bout de six échecs consécutifs, il bascule Signing sur Manual. Pour relancer la procédure immédiatement, repassez sur Manual puis sélectionnez à nouveau AutoSign.
Importer un certificat
Upload permet d'importer un certificat externe : un fichier PFX contenant sa clé privée (qui doit être exportable) et son Certificate Password. Définissez sa Visibility lors de l'envoi ; elle est réglée par défaut sur Private. Le champ Signature indique CA Signed si MANAGER parvient à vérifier son autorité de signature.
Un certificat importé s'applique à l'ensemble de la ferme, même lorsqu'il est téléversé depuis la page d'un serveur précis. Pour le réserver à un serveur unique, ajustez ensuite son paramètre Used By.
Le certificat intégré aux clés
Les clés de la ferme intègrent le domaine de son certificat PublicInToken ainsi que son empreinte numérique. S'il est CA Signed, les applications résolvent le domaine et acceptent tout certificat signé par une autorité reconnue. S'il est Self-Signed, elles n'acceptent que ce certificat précis et nécessitent l'adresse d'un serveur pour s'y connecter : MANAGER exige alors qu'au moins un serveur de la ferme dispose d'une adresse PublicInToken.
Attribuer PublicInToken à un nouveau certificat conserve l'ancien sur les serveurs avec le statut Public, assurant la connexion continue des anciennes clés. Les applications reçoivent la nouvelle clé dès leur connexion (l'option Push token to clients étant active par défaut), à condition qu'au moins un serveur de la ferme possède une adresse PublicInToken.
Ajouter ou importer un certificat pour un domaine déjà présent dans la ferme remplace l'ancien, qui est supprimé. Le nouveau conserve le niveau de Visibility de l'ancien s'il était supérieur, garantissant la validité du renouvellement au sein des clés. Les anciennes clés restent opérationnelles si le nouveau certificat est CA Signed. S'il s'agit d'un certificat auto-signé, transmettez de nouvelles clés à vos utilisateurs.
Supprimer un certificat
Sélectionnez Delete dans sa boîte de dialogue. MANAGER ne permet pas de supprimer le certificat actuellement utilisé dans les clés, ni le dernier certificat actif sur l'ensemble de la ferme : attribuez d'abord PublicInToken à un autre certificat ou commencez par en ajouter un nouveau.
