Base de Connaissances

Utilisez les instructions de cette page pour utiliser OpenSSL afin de créer votre demande de signature de certificat (CSR), puis installer votre certificat SSL sur votre serveur Nginx.

Remarque: Après avoir installé votre certificat SSL/TLS et configuré le serveur pour l’utiliser, vous devez redémarrer votre instance Nginx.

Nginx: création de votre CSR avec OpenSSL

Utilisez les instructions de cette section pour créer vos commandes shell permettant de générer votre CSR Nginx avec OpenSSL.

Recommandé: Gagnez du temps. Utilisez le DigiCert OpenSSL CSR Wizard pour générer une commande OpenSSL permettant de créer votre CSR Nginx. Remplissez simplement le formulaire, cliquez sur Generate, puis collez votre commande OpenSSL personnalisée dans votre terminal.

Comment générer une CSR pour Nginx avec OpenSSL

Si vous préférez créer manuellement vos commandes shell pour générer votre CSR Nginx, suivez les instructions ci-dessous:

1. Connectez-vous à votre serveur via votre client terminal (ssh).
2. Exécuter la commande
   À l’invite, saisissez la commande suivante:
   
   openssl req –new –newkey rsa:2048 –nodes –keyout server.key –out server.csr
   
   Remarque: Assurez-vous de remplacer server par le nom de votre serveur.
   
   
   
3. Générer les fichiers
   1. Vous avez maintenant commencé le processus de génération des deux fichiers suivants:
      • Fichier de clé privée: utilisé pour générer la CSR puis ultérieurement pour sécuriser et vérifier les connexions utilisant le certificat.
      • Fichier de demande de signature de certificat (CSR): utilisé pour commander votre certificat SSL puis ultérieurement pour chiffrer les messages que seule la clé privée correspondante peut déchiffrer.
   2. Lorsque vous êtes invité à saisir le Nom commun (nom de domaine), saisissez le nom de domaine complet (FQDN) du site que vous allez sécuriser.
      Remarque: Si vous générez une CSR Nginx pour un certificat Wildcard, assurez-vous que votre nom commun commence par un astérisque (par ex., *.example.com).
   3. Lorsque vous y êtes invité, saisissez les informations relatives à votre organisation, en commençant par vos informations géographiques.
      Remarque: Il se peut que des informations par défaut aient déjà été configurées.
   4. Votre fichier .csr sera alors créé.
4. Commander votre certificat SSL/TLS
   1. Ouvrez le fichier .csr que vous avez créé à l’aide d’un éditeur de texte.
   2. Copiez le texte, y compris les balises -----BEGIN NEW CERTIFICATE REQUEST----- et -----END NEW CERTIFICATE REQUEST----- puis collez-le dans le formulaire de commande DigiCert.
5. Enregistrer la clé privée
   Enregistrez (sauvegardez) le fichier .key généré. Vous en aurez besoin plus tard lors de l’installation de votre certificat SSL.
6. Installer le certificat
   Après avoir reçu votre certificat SSL de DigiCert, vous pouvez l’installer sur votre serveur.
    

Nginx: installation et configuration de votre certificat SSL

Si vous devez encore créer une demande de signature de certificat (CSR) et commander votre certificat, consultez Nginx: création de votre CSR avec OpenSSL.

Après validation et émission de votre certificat SSL, vous pouvez l’installer sur le serveur Nginx où la CSR a été générée et configurer le serveur pour l’utiliser.

Comment installer et configurer votre certificat SSL

1. Certificats principal et intermédiaire
   1. Vous devriez avoir reçu un fichier your_domain_name.pem de DigiCert par e-mail lors de l’émission de votre certificat. Ce fichier .pem contient à la fois votre certificat principal et le certificat intermédiaire. Si vous disposez de ce fichier .pem, vous pouvez passer directement à l’étape 4.
   2. Si vous devez concaténer votre certificat principal et votre certificat intermédiaire dans un seul fichier, consultez l’étape 2.
2. Copier les fichiers de certificat sur votre serveur
   1. Connectez-vous à votre compte DigiCert et téléchargez les fichiers du certificat intermédiaire (DigiCertCA.crt) et de votre certificat principal (your_domain_name.crt).
   2. Copiez ces fichiers, ainsi que le fichier .key généré lors de la création de la CSR, dans le répertoire du serveur où vous conserverez vos fichiers de certificat et de clé.
      Remarque: Rendez-les lisibles uniquement par root afin d’améliorer la sécurité.
3. Concaténer les certificats principal et intermédiaire
   1. Vous devez concaténer votre fichier de certificat principal (your_domain_name.crt) et le fichier de certificat intermédiaire (DigiCertCA.crt) dans un seul fichier .pem.
   2. Pour concaténer les fichiers, exécutez la commande suivante:
      
      cat your_domain_name.crt DigiCertCA.crt >> bundle.crt
      
4. Modifier le fichier des hôtes virtuels Nginx
   1. Ouvrez le fichier d’hôte virtuel Nginx correspondant au site que vous sécurisez.
   2. Faites une copie du module serveur non sécurisé existant et collez-la sous l’original.
      Remarque: Si vous avez besoin que votre site soit accessible à la fois via des connexions sécurisées (https) et non sécurisées (http), vous devrez disposer d’un module serveur pour chaque type de connexion.
   3. Ensuite, ajoutez les lignes en gras ci-dessous:
      
      server {
      
      listen   443;
      
      ssl    on;
      ssl_certificate    /etc/ssl/your_domain_name.pem; (ou bundle.crt)
      ssl_certificate_key    /etc/ssl/your_domain_name.key;
      
      server_name your.domain.com;
      access_log /var/log/nginx/nginx.vhost.access.log;
      error_log /var/log/nginx/nginx.vhost.error.log;
      location / {
      root   /home/www/public_html/your.domain.com/public/;
      index  index.html;
      }
      
      }
      
      
   4. Ajustez les noms de fichiers afin qu’ils correspondent à vos fichiers de certificat:
      • ssl_certificate doit correspondre à votre certificat principal combiné au certificat intermédiaire créé à l’étape précédente (par ex., your_domain_name.crt).
      • ssl_certificate_key doit correspondre au fichier .key généré lors de la création de la CSR.
5. Redémarrer Nginx.
   Exécutez la commande suivante pour redémarrer Nginx:
   
   sudo /etc/init.d/nginx restart
   
   
6. Félicitations! Vous avez installé avec succès votre certificat SSL.
    

Dépannage:

1. Utiliser l’outil de diagnostic d’installation SSL DigiCert®

   Si votre site web est accessible publiquement, notre SSL Certificate Checker peut vous aider à diagnostiquer les problèmes courants.

2. Utiliser un navigateur et visiter votre site

   Ouvrez un navigateur web et accédez à votre site en utilisant https. Nous recommandons de tester votre site avec Firefox; ce navigateur affichera un avertissement si votre certificat intermédiaire n’est pas installé. Vous ne devriez recevoir aucun avertissement ou erreur du navigateur.

   1. Si vous recevez immédiatement un message du navigateur indiquant que le site n’est pas disponible, il est possible que Nginx n’écoute pas encore sur le port 443.

   2. Si votre requête web prend beaucoup de temps puis expire, un pare-feu bloque peut-être le trafic sur le port TCP 443 vers le serveur web.

   3. Si vous recevez un avertissement « non approuvé », affichez le certificat afin de vérifier qu’il s’agit bien du certificat attendu.

      • Lorsque vous affichez le certificat, vérifiez les champs Subject, Issuer et Valid To

      • Si vous avez dû concaténer les fichiers de certificat, il est possible que votre certificat principal (par ex., your_domain_name.crt) ne soit pas correctement combiné avec le certificat intermédiaire.

3. Pour plus d’informations, consultez la documentation SSL Nginx.
    

Configuration du serveur Nginx

Pour des informations sur les configurations du serveur Nginx pouvant renforcer votre environnement SSL:

• Nginx: désactivation du protocole SSL v3
• Activation de Perfect Forward Secrecy