Certificat SSL fourni par une CA

Apache

On ne peux avoir qu'un seul virtualhost par adresse IP en SSL avec Apache, car le cryptage du flux HTTP (=HTTPS) supprime la possibilité pour Apache de décoder l'URL, et par voie de conséquence d'en extraire le nom du virtualhost demandé. Il ne se fie donc qu'à l'IP, et renvoie sur le premier site qui correspond au tuple IP:443.

Le seul moyen pour avoir plusieurs virtualhosts en SSL sur un même serveur est donc de déclarer plusieurs alias IP sur ce serveur et d'attribuer une IP par virtualhost.

Création de certificat

Procédure réalisée avec Gandi. A tester avec d'autres registrars.

Certificat mono-domaine

CSR

Note : pour BlueOnyx, voir la génération via l'interface web ci-dessous

La doc de Gandi indique qu'on peut générer le certificat manuellement par

openssl req -nodes -newkey rsa:2048 -keyout monserveur.key -out serveur.csr

CRT

Lorsqu'on demande l'activation du certificat, le registrar demande alors une copie du CSR. Il génère un certificat à partir de ces informations, avec sa signature, et renvoie un fichier xxxx.crt.

Copier ce fichier dans le répertoire du virtualhost, dans "certs", sous le nom "certificate".

Ne surtout pas toucher au fichier "key", qui est la clé privée du site, et "request", qui est la clé publique, correspondant au CSR envoyé ci-dessus, et reprise dans le certificat de l'autorité de certification.

TODO

A tester : seule la méthode manuelle a été utilisée pour déposer le certificat du registrar sur le serveur BlueOnyx. Tester le bouton "Manage Certificate Authority" dans l'interface.

Certificat Wildcard

Sur BlueOnyx : uniquement avec des sous-domaines (sinon la configuration dynamique de BlueOnyx renvoie par ReWrite sur le site SSL par défaut). En sous-domaine avec un certificat wildard, chaque sous-domaine est bien indépendant et utilise le certificat posé dans le répertoire "certs" du virtualhost principal.

BlueOnyx

Dans BlueOnyx, générer une demande de certificat (Certificat Signing Request, "CSR"). Onglet "Site Management", en modification du virtualhost, menu SSL.

BlueOnyx propose automatiquement le téléchargement de la requête en TXT.
De plus, si "Enable SSL" n'a pas été coché à la création du virtualhost, on peut le cocher dans le récapitulatif qui s'affiche dans la page.

Chemin des certificats dans la BlueOnyx :

/home/sites/<nom_du_virtualhost>/certs