Base de Connaissances

En-têtes d’hôte, liaisons de sites sécurisées et SSL

Contexte

Pour IIS 8, consultez Configuration des en-têtes d’hôte SSL dans IIS 8 et IIS 8.5.
Pour IIS 6, consultez Configuration des en-têtes d’hôte SSL dans IIS 6.

Les en-têtes d’hôte (Host Headers) permettent d’héberger plusieurs sites web sécurisés sur une seule adresse IP. Si vous utilisez des en-têtes d’hôte avec un certificat SSL classique, le même certificat doit être utilisé pour tous les sites sécurisés. Si plusieurs certificats SSL sont utilisés, le serveur rencontre généralement des difficultés à présenter le certificat SSL approprié lors de l’établissement d’une connexion HTTPS, ce qui provoque une erreur de nom de certificat.

En revanche, si vous utilisez des en-têtes d’hôte avec des certificats capables de couvrir plusieurs sites web (certificats Wildcard ou Multi-Domain (SAN)), vous pouvez sécuriser plusieurs sites à l’aide d’une seule adresse IP.

Un certificat Wildcard sécurise tous les sous-domaines du domaine pour lequel il a été émis. Par exemple, un certificat DigiCert® Wildcard Plus™ émis pour *.domain.com couvre something.domain.com, anything.domain.com et whatever.domain.com. Étant donné que le certificat *.domain.com est valide pour tous ces domaines, aucun message d’erreur ne sera affiché.

De la même manière, un seul certificat DigiCert Multi-Domain (SAN) peut sécuriser plusieurs noms de domaine complets (FQDN). Contrairement à une idée reçue, les certificats Multi-Domain (SAN) sont compatibles avec la quasi-totalité des principaux types de serveurs. La différence entre un certificat Multi-Domain (SAN) et un certificat Wildcard est que le certificat Wildcard couvre plusieurs sites grâce au caractère générique * dans le nom de domaine, tandis que le certificat Multi-Domain (SAN) contient un champ Subject Alternative Name (SAN) permettant d’inclure plusieurs noms. Par exemple, un certificat Multi-Domain (SAN) peut inclure www.domain.com, www.domain2.com, www.domain3.com et mail.domain3.com. Le certificat peut ensuite être installé sur ces quatre sites. Lorsqu’un navigateur se connecte à l’un de ces sites, il compare le nom du site avec la liste des SAN figurant dans le certificat. Tant qu’une correspondance valide est trouvée, aucun message d’erreur n’est affiché.

Il existe deux méthodes pour configurer les en-têtes d’hôte dans IIS 7. Nous recommandons d’utiliser DigiCert Certificate Utility et l’interface graphique IIS 7 pour configurer les en-têtes d’hôte et les liaisons de sites. Vous pouvez également configurer les en-têtes d’hôte SSL à l’aide de la ligne de commande. Les deux méthodes sont décrites ci-dessous.

Configuration des en-têtes d’hôte dans IIS 7 à l’aide de DigiCert Certificate Utility

Pour configurer les en-têtes d’hôte dans IIS 7, le nom convivial (Friendly Name) de votre certificat doit commencer par le caractère *. Cette opération est très simple avec DigiCert Certificate Utility. Une fois le nom convivial correctement formaté, vous pouvez configurer les en-têtes d’hôte et les liaisons de sites. Si le nom convivial ne commence pas par un *, vous devrez utiliser la ligne de commande pour configurer les en-têtes d’hôte SSL afin d’utiliser votre certificat SSL sur plusieurs sites web. Consultez Configuration des en-têtes d’hôte dans IIS 7 à l’aide de la ligne de commande.

Formatage du nom convivial

1. Téléchargez et exécutez DigiCert Certificate Utility sur votre serveur IIS.

2. Dans l’utilitaire, faites un clic droit sur votre certificat, puis cliquez sur Edit Friendly Name.
   
   

3. Le nom convivial peut être celui de votre choix, à condition qu’il commence par un *.
   
   Vous pouvez également ajouter le nom DigiCert ainsi que la date d’expiration à la fin du nom convivial (par exemple *.yourdomain.com (DigiCert)(Date d’expiration)). Ces informations permettent d’identifier l’émetteur du certificat ainsi que sa date d’expiration.
   
   

4. Cliquez sur Save.

5. Pour un site web ne disposant pas encore d’une liaison HTTPS, consultez Ajout de liaisons de site (le site ne possède pas de liaison HTTPS).

   Pour un site web possédant déjà une liaison HTTPS, consultez Modification des liaisons de site (le site possède une liaison HTTPS).

    

Ajout de liaisons de site (le site ne possède pas de liaison HTTPS)

1. Ouvrez Internet Information Services (IIS) Manager.
   
   Dans le menu Start de Windows, cliquez sur Administrative Tools > Internet Information Services (IIS) Manager.

2. Dans IIS Manager, sous Connections, développez le nom de votre serveur, puis développez Sites.
   
   

3. Faites un clic droit sur le site web, puis cliquez sur Edit Bindings.

4. Dans la fenêtre Site Bindings, cliquez sur Add.
   
   

5. Dans la fenêtre Add Site Binding, configurez les options suivantes, puis cliquez sur OK:

   Type:	Sélectionnez https.
   Adresse IP:	Sélectionnez All Unassigned.
   Port:	Saisissez 443. Le port SSL est généralement le port 443.
   Nom d’hôte:	Saisissez le nom DNS de votre site web (par ex. website1.yourdomain.com).
   Certificat SSL:	Sélectionnez le certificat SSL par son nom convivial (*.yourdomain.com).

   
   

   Les en-têtes d’hôte sont désormais correctement configurés pour ce site web.

6. Répétez ces étapes autant de fois que nécessaire pour tous les sites auxquels vous souhaitez attribuer des en-têtes d’hôte SSL.

   À l’étape 5, veillez à modifier le nom d’hôte afin qu’il corresponde au nom DNS de chaque site.

7. Il peut être nécessaire de redémarrer les sites IIS pour que les modifications prennent effet.

8. Vous pouvez vérifier les modifications en ouvrant chaque site dans un navigateur web.

   Si une page incorrecte s’affiche pour une URL donnée, les en-têtes d’hôte SSL ne sont pas correctement configurés.

    

Modification des liaisons de site (le site possède une liaison HTTPS)

1. Ouvrez Internet Information Services (IIS) Manager.
   
   Dans le menu Start de Windows, cliquez sur Administrative Tools > Internet Information Services (IIS) Manager.

2. Dans IIS Manager, sous Connections, développez le nom de votre serveur, puis développez Sites.
   
   

3. Faites un clic droit sur le site web, puis cliquez sur Edit Bindings.

4. Dans la fenêtre Site Bindings, sélectionnez la liaison HTTPS du site, puis cliquez sur Edit.
   
   

5. Dans la fenêtre Edit Site Binding, configurez les options suivantes, puis cliquez sur OK:

   Adresse IP:	Sélectionnez All Unassigned. Si votre serveur possède plusieurs adresses IP, choisissez celle qui convient.
   Nom d’hôte:	Saisissez le nom DNS de votre site web (par ex. website1.yourdomain.com).
   Certificat SSL:	Sélectionnez le certificat SSL par son nom convivial (*.yourdomain.com).

   
   

   Les en-têtes d’hôte sont désormais correctement configurés pour ce site web.

6. Répétez ces étapes autant de fois que nécessaire pour tous les sites auxquels vous souhaitez attribuer des en-têtes d’hôte SSL.

   À l’étape 5, veillez à modifier le nom d’hôte afin qu’il corresponde au nom DNS de chaque site.

7. Il peut être nécessaire de redémarrer les sites IIS pour que les modifications prennent effet.

8. Vous pouvez vérifier les modifications en ouvrant chaque site dans un navigateur web.

   Si une page incorrecte s’affiche pour une URL donnée, les en-têtes d’hôte SSL ne sont pas correctement configurés.

    

Configuration des en-têtes d’hôte dans IIS 7 à l’aide de la ligne de commande

1. Installez le certificat SSL sur le site qui utilisera les liaisons sécurisées.
2. Ouvrez ensuite une invite de commande en cliquant sur Start > Run. Saisissez cmd, puis cliquez sur OK.
3. Saisissez cd C:\Windows\System32\Inetsrv\ afin d’accéder au répertoire permettant de gérer les en-têtes d’hôte SSL, puis appuyez sur Entrée.

4. Saisissez la commande suivante sur une seule ligne:

   appcmd set site /site.name:"Nom du site dans IIS" /+bindings.[protocol='https',bindingInformation='*:443:En-tête d’hôte']

   Vous trouverez le nom du site dans IIS et la valeur de l’en-tête d’hôte dans la fenêtre Connections d’IIS 7, sous Sites. La valeur de l’en-tête d’hôte correspond au nom attribué au site (par ex. digicert.com).

   

   Une fois la commande exécutée, vous devriez voir apparaître le message suivant dans l’invite de commande: "SITE object 'your site' changed".

5. Répétez l’étape précédente autant de fois que nécessaire jusqu’à ce que les en-têtes d’hôte SSL soient configurés pour tous les sites concernés. Si vous devez saisir la commande pour plusieurs sites, nous vous recommandons d’utiliser notre DigiCert IIS 7 SSL Host Header Command Generator.

6. Il peut être nécessaire de redémarrer les sites IIS pour que les modifications prennent effet.

7. Vous pouvez vérifier les modifications en ouvrant chaque site dans un navigateur web.

   Si une page incorrecte s’affiche pour une URL donnée, les en-têtes d’hôte SSL ne sont pas correctement configurés.