Base de Connaissances

Création d’une CSR ECC et installation de votre certificat SSL sur votre serveur Apache

Avant de générer une CSR ECC (Elliptic Curve Cryptography Certificate Signing Request) et de commander un certificat SSL ECC auprès de DigiCert, assurez-vous que votre environnement est compatible avec les certificats SSL ECC. Pour plus d’informations sur la cryptographie sur courbes elliptiques, consultez Présentation de la cryptographie sur courbes elliptiques (ECC).

Suivez ces instructions pour générer la CSR ECC, puis installer votre certificat SSL ECC.

1. Pour créer votre CSR ECC, consultez Apache: créer votre CSR ECC (demande de signature de certificat).

2. Pour installer votre certificat SSL ECC, consultez Apache: installer votre certificat SSL ECC.
    

Apache | Créer votre CSR ECC (demande de signature de certificat)

Apache: comment créer votre CSR ECC

1. Connectez-vous à votre serveur Apache.

2. À l’invite, saisissez la commande suivante pour générer une clé privée ECC à l’aide de l’outil OpenSSL ecparam afin de générer votre fichier .key:

   openssl ecparam -out server.key -name prime256v1 -genkey

   Où server correspond au nom de votre serveur.

   Remarque: La taille de clé ECC recommandée est de 256 bits. Si une robustesse de chiffrement supérieure est requise, l’autre option de clé privée est secp384r1.

3. Enregistrez (sauvegardez) le fichier .key généré et veillez à noter son emplacement. Cette clé privée sera nécessaire ultérieurement pour l’installation du certificat SSL ECC.

4. Ensuite, saisissez la commande suivante pour générer une demande de signature de certificat (CSR) ECC:

   openssl req -new -key server.key -out server.csr -sha256

   Où server correspond au nom de votre serveur.

5. Lorsque vous y êtes invité, saisissez les informations suivantes:

   Pour les champs qui ne sont pas obligatoires, vous pouvez saisir '.' afin de les laisser vides.

   Country Name (2-letter code) [AU]: Saisissez le code à deux lettres du pays où votre entreprise est légalement établie.
   
   State or Province Name (full name) [Some-State]: Saisissez le nom de l’État ou de la province où votre entreprise est légalement établie.
   
   Locality Name (eg, city) [ ]: Saisissez le nom de la ville où votre entreprise est légalement établie.
   
   Organization Name (eg, company) [Internet Widgits Pty Ltd]: Saisissez le nom légal enregistré de votre entreprise.
   
   Organizational Unit Name (eg, section) [ ]: Saisissez le nom du service de votre organisation que vous souhaitez voir apparaître
   sur le certificat SSL ECC.
   
   Common Name (e.g. server FQDN) [ ]: Saisissez le nom de domaine complet (par exemple, www.example.com) du site que vous sécurisez.
   
   Remarque: Si vous générez une CSR Apache pour un certificat SSL Wildcard, votre nom commun doit commencer par un astérisque (par exemple, *.example.com).
   
   

6. Cette opération crée votre fichier openssl.csr.

7. Ouvrez maintenant le fichier .csr dans un éditeur de texte et copiez le texte de votre CSR, y compris les balises -----BEGIN NEW CERTIFICATE REQUEST----- et -----END NEW CERTIFICATE REQUEST-----, puis collez-le dans le formulaire de commande DigiCert.

   Remarque: Pendant le processus de commande de votre certificat SSL DigiCert, lorsque vous êtes invité à sélectionner Server Software, veillez à sélectionner Apache. Cette option garantit que vous recevez tous les certificats requis pour l’installation du certificat Apache.

   -----BEGIN NEW CERTIFICATE REQUEST-----
   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
   -----END NEW CERTIFICATE REQUEST-----

   

8. Après avoir reçu votre certificat SSL ECC de DigiCert, vous pouvez l’installer.
    

Apache: installer votre certificat SSL ECC

Si vous n’avez pas encore créé votre demande de signature de certificat (CSR) ECC et commandé votre certificat, consultez: Apache: créer votre CSR ECC (demande de signature de certificat).

Après avoir reçu votre certificat SSL ECC, vous devez l’installer sur votre serveur Apache, puis configurer le serveur pour utiliser le certificat afin de sécuriser votre site web.

Si vous installez un certificat SSL EV, consultez Installation d’un certificat SSL EV: Apache. Si vous disposez d’un serveur Ubuntu, consultez Installation d’un certificat SSL sur un serveur Ubuntu avec Apache.

Apache: comment installer votre certificat SSL

1. Copiez les fichiers de certificat sur votre serveur

1. Connectez-vous à votre DigiCert© Management Console.

2. Téléchargez le certificat intermédiaire ECC DigiCert (DigiCertCA.crt) et votre certificat principal ECC (par exemple, your-domain_name.crt).

3. Copiez les fichiers dans le répertoire de votre serveur où vous conservez vos certificats et fichiers de clés.

4. Assurez-vous que les certificats sont lisibles uniquement par l’utilisateur root.

2. Recherchez le fichier de configuration Apache à modifier

L’emplacement et le nom du fichier de configuration peuvent varier d’un serveur à l’autre, notamment si vous utilisez une interface spéciale pour gérer la configuration de votre serveur.

Le fichier de configuration principal d’Apache est généralement nommé httpd.conf ou apache2.conf. Ce fichier peut notamment se trouver dans /etc/httpd/ ou /etc/apache2/. Pour obtenir une liste complète des dispositions d’installation par défaut d’Apache HTTPD sur différents systèmes d’exploitation et distributions, consultez Httpd Wiki - DistrosDefaultLayout.

La configuration du certificat SSL se trouve souvent dans un bloc <VirtualHost> d’un autre fichier de configuration. Les fichiers de configuration peuvent se trouver dans un répertoire tel que /etc/httpd/vhosts.d/, /etc/httpd/sites/, ou dans un fichier nommé httpd-ssl.conf.

Une méthode permettant de localiser la configuration SSL sur les distributions Linux consiste à effectuer une recherche à l’aide de grep, comme indiqué dans l’exemple ci-dessous.

Saisissez la commande suivante:

Où "/etc/httpd/" correspond au répertoire de base de votre installation Apache.

3. Identifiez le bloc SSL <VirtualHost> à configurer

Si votre site doit être accessible via des connexions sécurisées (https) et non sécurisées (http):

Vous avez besoin d’un hôte virtuel pour chaque type de connexion: un pour le port 80 et l’autre pour le port 443. Créez une copie de l’hôte virtuel non sécurisé existant et configurez-la pour SSL comme décrit à l’étape 4.

Si votre site doit uniquement être accessible de manière sécurisée:

Configurez l’hôte virtuel existant pour SSL comme décrit à l’étape 4.

4. Configurez le bloc <VirtualHost> pour le site compatible SSL

1. Vous trouverez ci-dessous un exemple très simple d’hôte virtuel configuré pour SSL. Les éléments indiqués en gras sont ceux qui doivent être configurés pour la configuration SSL et peuvent être répartis dans l’ensemble du fichier:

   <VirtualHost 192.168.0.1:443>
   DocumentRoot /var/www/html2
   ServerName www.yourdomain.com
   SSLEngine on
   SSLCertificateFile /path/to/your_domain_name.crt
   SSLCertificateKeyFile /path/to/server.key
   SSLCertificateChainFile /path/to/DigiCertCA.crt
   </VirtualHost>

2. Modifiez les noms de fichiers ci-dessus pour qu’ils correspondent à vos fichiers de certificat:

   • SSLCertificateFile

     Ce fichier doit être votre fichier de certificat SSL ECC DigiCert (par exemple, your_domain_name.crt).

   • SSLCertificateKeyFile

     Ce fichier doit être le fichier de clé généré à l’étape 2 des instructions Apache: créer votre CSR ECC (demande de signature de certificat).

   • SSLCertificateChainFile

     Ce fichier doit être le fichier du certificat intermédiaire ECC DigiCert (DigiCertCA.crt).

     Remarque: Si la directive SSLCertificateChainFile ne fonctionne pas, essayez d’utiliser la directive SSLCACertificateFile à la place.

5. Testez votre configuration Apache avant de redémarrer

Apache ne redémarrera pas si vos fichiers de configuration contiennent des erreurs de syntaxe. Vous devez donc vérifier que vos fichiers de configuration Apache ne contiennent aucune erreur avant de redémarrer.

• Exécutez la commande suivante pour tester vos fichiers de configuration:

  apachectl configtest

• Sur certains systèmes, vous devez exécuter la commande suivante pour tester vos fichiers de configuration:

  apache2ctl configtest

6. Redémarrez Apache

• Vous pouvez utiliser les commandes apachectl pour arrêter et démarrer Apache avec la prise en charge de SSL:

  apachectl stop
  apachectl start

• Si Apache ne démarre pas avec la prise en charge de SSL, essayez d’utiliser la commande apachectl startssl au lieu de apachectl start.

• Si la prise en charge de SSL est uniquement chargée avec apachectl startssl, nous vous recommandons de modifier la configuration de démarrage d’Apache afin d’inclure la prise en charge de SSL dans la commande apachectl start standard. Dans le cas contraire, vous devrez peut-être redémarrer manuellement Apache à l’aide de apachectl startssl en cas de redémarrage du serveur. Cela implique généralement de supprimer les balises <IfDefine SSL> et </IfDefine> qui encadrent votre configuration SSL.
   

Dépannage

1. Si votre site web est accessible au public, notre outil SSL Certificate Tester peut vous aider à diagnostiquer les problèmes courants.

2. Pour obtenir de l’aide concernant le transfert de vos certificats vers des serveurs supplémentaires ou entre différentes plateformes serveur, consultez nos instructions Transfert de certificats SSL IIS.
    

Configuration du serveur Apache

Pour obtenir des informations sur les configurations de serveur Apache susceptibles de renforcer votre environnement SSL, consultez les pages suivantes:

• Instructions pour désactiver le protocole SSL v3.

  Apache: désactivation du protocole SSL v3

• Informations sur l’activation de Perfect Forward Secrecy.

  Activation de Perfect Forward Secrecy