Quel certificat votre serveur doit-il utiliser ?
Quiconque se connecte à votre serveur voit son certificat : une seule sonde peut donc trahir le serveur. Utilisez un certificat de confiance si vous le pouvez. Sinon, un certificat auto-signé honnête peut tout de même valoir mieux qu'un faux.
Ce que chaque certificat révèle à un réseau
-
De confiance
Un certificat valide pour votre domaine, signé par une autorité de certification.
Cela ressemble à un site web ou à un service ordinaire.
-
Auto-signé
Un certificat qu'aucune autorité n'a signé, avec un nom fictif, comme sur un serveur tout juste installé.
Cela ressemble à un serveur privé, comme un routeur ou une machine de test.
-
Invalide
Un certificat auto-signé portant le nom d'un vrai site, à une adresse qui n'appartient pas à ce site.
Cela ressemble à un serveur qui se fait passer pour ce qu'il n'est pas.
Pourquoi un certificat auto-signé peut valoir mieux qu'un certificat invalide
Un navigateur rejette les deux. La différence tient à ce que chacun affirme.
Un nom fictif n'affirme rien : il n'y a donc rien à réfuter. Les routeurs, les machines de test et les outils privés présentent chaque jour le même type de certificat, et un réseau qui bloque tous ces certificats coupe aussi l'accès à ces derniers.
Le nom d'un vrai site est une affirmation que n'importe qui peut vérifier : ce site possède un certificat émis par une autorité et ses propres adresses, et votre serveur n'a ni l'un ni l'autre. Aucun serveur ordinaire n'agit ainsi : un réseau ne perd donc rien à bloquer un tel serveur.
Le nom d'un vrai site peut tout de même aider sur un réseau qui juge uniquement d'après ce nom : il peut y passer, contrairement à un nom fictif. Pour essayer, ajoutez un certificat portant un tel nom sur un serveur géré ou sur un serveur autonome.
Inutile de maquiller un certificat auto-signé. Son organisation, sa durée de validité et ses extensions ne changent rien, car une sonde voit aussitôt qu'aucune autorité ne l'a signé.
Obtenir un domaine si possible
Un certificat de confiance est la vraie solution face aux sondes, et il coûte peu : un domaine est bon marché et les certificats Let's Encrypt sont gratuits.
Utilisez un nom d'hôte de votre domaine, comme api.example.com. De nombreux sites placent une API ou leurs fichiers sur un nom d'hôte dédié qui refuse les inconnus, comme le fait votre serveur : il paraît donc ordinaire. www.example.com reste libre pour le site de votre choix, chez n'importe quel hébergeur.
Un domaine ne permet toutefois pas à vos utilisateurs de contourner une adresse bloquée, car il mène au même serveur. Seul un reverse proxy le permet.
