Base de Connaissances

En-têtes d’hôte, liaisons de sites sécurisées et SSL

Contexte

Pour IIS 7, consultez Configuration des en-têtes d’hôte SSL dans IIS 7.
Pour IIS 8, consultez Configuration des en-têtes d’hôte SSL dans IIS 8 et IIS 8.5.

Les en-têtes d’hôte (Host Headers) peuvent être utilisés pour héberger plusieurs sites web sécurisés sur une seule adresse IP. Avec cette méthode, le même certificat SSL doit être utilisé pour chaque site sécurisé. Si plusieurs certificats SSL sont utilisés, le serveur rencontre généralement des difficultés à présenter le certificat SSL approprié lors de l’établissement d’une connexion HTTPS, ce qui entraîne une erreur de nom de certificat. En revanche, si vous utilisez des en-têtes d’hôte avec des certificats pouvant couvrir plusieurs sites web (certificats Wildcard ou Multi-Domain (SAN)), vous pouvez sécuriser plusieurs sites avec SSL en utilisant une seule adresse IP.

Un certificat Wildcard sécurise tous les sous-domaines du domaine pour lequel il a été émis. Par exemple, un certificat DigiCert® Wildcard Plus™ émis pour *.domain.com couvre something.domain.com, anything.domain.com et whatever.domain.com. Étant donné que le certificat *.domain.com est valide pour chacun de ces domaines, le serveur ne peut pas présenter un certificat SSL incorrect.

De la même manière, un certificat DigiCert Multi-Domain (SAN) peut sécuriser plusieurs noms de domaine complets (FQDN). Contrairement à une idée reçue, ces certificats ne sont pas réservés aux serveurs Microsoft Exchange. Les certificats DigiCert Multi-Domain (SAN) sont compatibles avec la plupart des principaux types de serveurs. La différence entre les certificats DigiCert Multi-Domain (SAN) et les certificats Wildcard est que les certificats Wildcard couvrent plusieurs sites grâce au caractère générique * dans le nom de domaine, tandis que les certificats DigiCert Multi-Domain (SAN) comportent un champ Subject Alternative Name (SAN) qui permet d’inclure plusieurs noms dans le certificat.

Par exemple, un certificat DigiCert Multi-Domain (SAN) peut être émis avec les noms www.domain.com, www.domain2.com, www.domain3.com et mail.domain3.com. Le certificat peut ensuite être installé sur les quatre sites. Lorsqu’un navigateur se connecte à l’un de ces sites, il compare le nom auquel il se connecte avec la liste des noms SAN présents dans le certificat. Tant qu’une correspondance valide est trouvée, aucun message d’erreur n’est affiché.

Suivez les instructions ci-dessous pour configurer les en-têtes d’hôte et les liaisons de sites sécurisées dans IIS 6.
 

Configuration des en-têtes d’hôte et des liaisons de sites sécurisées dans IIS 6

1. Installez le certificat SSL sur le site où vous utiliserez des liaisons sécurisées.

2. Si ce n’est pas déjà fait, configurez les en-têtes d’hôte de votre site à l’aide d’IIS. Pour cela, dans IIS, faites un clic droit sur le site que vous souhaitez sécuriser, puis sélectionnez Properties.

3. Dans l’onglet Website, cliquez sur Advanced à côté du champ d’adresse IP.

4. Sélectionnez votre identité par défaut sur le port TCP 80. Cliquez ensuite sur Edit et saisissez votre nom de domaine dans le champ Host header. Répétez cette opération pour tous les sites qui partageront des connexions sécurisées sur la même adresse IP.

5. Ouvrez ensuite une invite de commande en cliquant sur Start > Run. Saisissez cmd, puis cliquez sur OK.

6. Saisissez cd C:\Inetpub\AdminScripts ou le répertoire des scripts IIS de votre système, puis appuyez sur Entrée.

7. Saisissez la commande suivante:

   cscript.exe adsutil.vbs set /w3svc/site identifier/SecureBindings ":443:host header"

   Vous trouverez votre site identifier et votre host header dans IIS lorsque vous affichez la liste de tous les sites web depuis IIS Manager. L’identifiant du site figure dans la colonne Identifier, et la valeur de l’en-tête d’hôte figure dans la colonne Host header value. La valeur de l’en-tête d’hôte correspond au nom attribué au site web (par exemple digicert.com).

   

   Si vous saisissez un identifiant de site non valide, vous recevrez le message d’erreur suivant: "The path requested could not be found.".

8. Répétez l’étape précédente autant de fois que nécessaire pour permettre à votre certificat SSL d’être utilisé sur tous les sites web concernés. Si vous devez exécuter cette commande pour plusieurs sites, nous vous recommandons d’utiliser notre DigiCert IIS 6 SSL Host Header Command Generator.

Il peut être nécessaire de redémarrer les sites IIS pour que les modifications prennent effet. Vous pouvez vérifier les modifications en ouvrant chaque site dans un navigateur web. Si une page incorrecte s’affiche pour une URL donnée, cela signifie que les en-têtes d’hôte SSL ne sont pas correctement configurés.

Remarque: Si vous rencontrez des difficultés lors de la configuration des en-têtes d’hôte dans IIS ou si vous ne souhaitez pas utiliser cette méthode, vous pouvez utiliser des ports différents pour chaque site sécurisé (plusieurs sites sécurisés peuvent fonctionner sur la même adresse IP avec des certificats SSL différents à condition que chacun utilise un port distinct). Cependant, la plupart des administrateurs système estiment que cette solution est plus contraignante qu’elle n’en vaut la peine.