Certificats personnalisés

attention

Depuis la version 2.5, YunoHost intègre la gestion automatisée des certificats Let's Encrypt. Vous pouvez facilement et librement installer un certificat Let's Encrypt. Le document suivant décrit les étapes à suivre pour installer un certificat payant provenant d'une autorité de certification (Gandi, RapidSSL, StartSSL, Cacert).

Certaines modifications ont été apportées, qui ont une incidence sur les procédures indiquées ci-dessous :

Le groupe Metronome n'est plus utilisé directement, mais ssl-cert.
Un répertoire /etc/yunohost/certs/DOMAIN.LTD-history/stamp est utilisé pour conserver chaque configuration créée et un lien symbolique est créé.

Ajout d'un certificat signé par une autorité (autre que Let's Encrypt)

Après avoir créé le certificat auprès de votre autorité d'enregistrement, vous devez disposer d'une clé privée, du fichier de clé, et d'un certificat public, du fichier crt.

attention

Notez que le fichier clé est très sensible, il est strictement personnel et doit être très bien sécurisé.

Ces deux fichiers doivent être copiés sur le serveur, s'ils ne s'y trouvent pas déjà.

scp CERTIFICATE.crt admin@DOMAIN.TLD:ssl.crt
scp KEY.key admin@DOMAIN.TLD:ssl.key

Sous Windows, scp peut être utilisé avec Putty, en téléchargeant l'outil pscp.

pscp -P 22 CERTIFICATE.crt admin@DOMAIN.TLD:ssl.crt
pscp -P 22 KEY.key admin@DOMAIN.TLD:ssl.key

Dès que les fichiers sont sur le serveur, le reste du opérations s'effectuera directement sur le serveur. Dans ssh ou localement. Commencez par créer un dossier pour stocker les certificats obtenus.

sudo mkdir /etc/yunohost/certs/DOMAIN.TLD/ae_certs
sudo mv ssl.key ssl.crt /etc/yunohost/certs/DOMAIN.TLD/ae_certs/

Ensuite, allez dans le dossier parent pour continuer.

cd /etc/yunohost/certs/DOMAIN.TLD/

Par mesure de précaution, sauvegardez les certificats d'origine de YunoHost.

sudo mkdir yunohost_self_signed
sudo mv *.pem *.cnf yunohost_self_signed/

Selon l'autorité d'enregistrement, des certificats intermédiaires et racine doivent être obtenus.

StartSSL

sudo wget http://www.startssl.com/certs/ca.pem -O ae_certs/ca.pem
sudo wget http://www.startssl.com/certs/sub.class1.server.ca.pem -O ae_certs/intermediate_ca.pem

Gandi

sudo wget https://www.gandi.net/static/CAs/GandiStandardSSLCA2.pem -O ae_certs/intermediate_ca.pem

RapidSSL

sudo wget https://knowledge.rapidssl.com/library/VERISIGN/INTERNATIONAL_AFFILIATES/RapidSSL/AR1548/RapidSSLCABundle.txt -O ae_certs/intermediate_ca.pem

Cacert

sudo wget http://www.cacert.org/certs/root.crt -O ae_certs/ca.pem
sudo wget http://www.cacert.org/certs/class3.crt -O ae_certs/intermediate_ca.pem

Les certificats intermédiaires et racine doivent être combinés avec le certificat obtenu afin de créer une chaîne de certificats unifiée.

cat ae_certs/ssl.crt ae_certs/intermediate_ca.pem ae_certs/ca.pem | sudo tee crt.pem

La clé privée doit être convertie au format .pem.

sudo openssl rsa -in ae_certs/ssl.key -out key.pem -outform PEM

Pour vérifier la syntaxe des certificats, vérifiez le contenu des fichiers.

cat crt.pem key.pem

Les certificats et la clé privée doivent ressembler à ceci :

Enfin, sécurisez vos fichiers de certificats.

sudo chown root:ssl-cert crt.pem key.pem
sudo chmod 640 crt.pem key.pem
sudo chown root:root -R ae_certs
sudo chmod 600 -R ae_certs

Les certificats (deux fichiers avec l'extension .pem) doivent maintenant être copiés dans /etc/yunohost/certs/DOMAIN.TLD.

cp ae_certs/*.pem ./

Rechargez la configuration NGINX pour prendre en compte le nouveau certificat.

sudo service nginx reload

Votre certificat est prêt. Cependant, vous pouvez vous assurer qu'il est en place en le testant à l'aide de geocerts.

Ajout d'un certificat signé par une autorité (autre que Let's Encrypt)​

StartSSL​

Gandi​

RapidSSL​

Cacert​

Ajout d'un certificat signé par une autorité (autre que Let's Encrypt)

StartSSL

Gandi

RapidSSL

Cacert