Sécuriser ses sites avec letsencrypt et acme-tiny - Historique des versions

Pfoo : /* Configuration de la vhost et reload d'Apache */

2022-07-27T16:50:59Z

Configuration de la vhost et reload d'Apache

← Version précédente		Version du 27 juillet 2022 à 18:50
Ligne 175 :		Ligne 175 :
	SSLCertificateFile /home/acme/work/networklab.fr/networklab.fr.pem		SSLCertificateFile /home/acme/work/networklab.fr/networklab.fr.pem
	SSLCertificateKeyFile /home/acme/secrets/networklab.fr.key		SSLCertificateKeyFile /home/acme/secrets/networklab.fr.key
	~~SSLProtocol all -SSLv2 -SSLv3 -TLSv1~~
	SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK
	~~SSLHonorCipherOrder on~~
	Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"		Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
	Header always set X-Frame-Options DENY		Header always set X-Frame-Options DENY
Ligne 187 :		Ligne 184 :
	On retrouve la configuration du certificat intermédiaire, du certificat de notre domaine et de la clé.		On retrouve la configuration du certificat intermédiaire, du certificat de notre domaine et de la clé.
	Ensuite différentes configurations SSL, à adapter selon la date à laquelle vous lirez ce tuto.		Ensuite différentes configurations SSL, à adapter selon la date à laquelle vous lirez ce tuto.

			Exemple de redirection automatique vers HTTPS :
			<pre>
			RewriteEngine on
			RewriteCond %{HTTPS} off
			RewriteCond %{REQUEST_URI} !^/.well-known/acme-challenge/.*
			RewriteRule ^/?(.*) https://%{SERVER_NAME}/$1 [R=301,L]
			</pre>
			Vous noterez l'exemption qui est faite à <code>/.well-known/acme-challenge/</code> pour que letsencrypt vienne toujours vérifier les challenges en HTTP et éviter un blocage lié à un certificat expiré.

	Dernière étape, configurer un reload d'Apache juste après la date prévue pour le renouvellement de vos certificats.		Dernière étape, configurer un reload d'Apache juste après la date prévue pour le renouvellement de vos certificats.

Pfoo : /* Configuration pour la demande du certificat */

2017-04-15T07:29:10Z

Configuration pour la demande du certificat

← Version précédente		Version du 15 avril 2017 à 09:29
Ligne 95 :		Ligne 95 :
	<pre>		<pre>
	<Directory "/home/networklab.fr/www/challenges">		<Directory "/home/networklab.fr/www/challenges">
			DirectoryIndex disabled
			Options -Indexes -FollowSymLinks
	AllowOverride None		AllowOverride None
	Require all granted		Require all granted
	~~Order allow,deny~~		</Directory>
	~~Allow from all~~
	~~DirectoryIndex disabled~~
	</Directory>
	Alias /.well-known/acme-challenge "/home/networklab.fr/www/challenges"		Alias /.well-known/acme-challenge "/home/networklab.fr/www/challenges"
	</pre>		</pre>

Pfoo : /* Pré-configuration (pour la première utilisation) */

2017-01-22T19:07:00Z

Pré-configuration (pour la première utilisation)

← Version précédente		Version du 22 janvier 2017 à 21:07
Ligne 23 :		Ligne 23 :
	=Pré-configuration (pour la première utilisation)=		=Pré-configuration (pour la première utilisation)=
	Avant de générer les certificats, commencez par créer un utilisateur dédié qui se chargera de faire tourner le script.		Avant de générer les certificats, commencez par créer un utilisateur dédié qui se chargera de faire tourner le script.
	Nous partirons sur un utilisateur nommé acme, avec un home dans /home/acme.		Nous partirons sur un utilisateur nommé acme, avec un home dans /home/acme et dont les mails sont redirigés vers root :
			<pre>
			adduser --disabled-login --disabled-password acme
			echo "acme: root" >> /etc/aliases
			postalias /etc/aliases
			</pre>

	Avec cet utilisateur (su - acme) :		Avec cet utilisateur (su - acme) :

Pfoo : /* Génération du certificat */

2017-01-22T18:55:12Z

Génération du certificat

← Version précédente		Version du 22 janvier 2017 à 20:55
Ligne 137 :		Ligne 137 :
	mv /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem		mv /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem
	cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem		cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem
	chmod o-r /home/acme/work/networklab.fr/~~intermediate.pem /home/acme/work/networklab.fr/networklab.fr.pem~~		chmod o-r /home/acme/work/networklab.fr/*
	</pre>		</pre>
	Le changement d'umask permet d'écrire le fichier de challenges avec des droits permettant à Apache de servir le fichier (le fichier étant créé en acme:acme, l'umask 027 ne le permet pas).		Le changement d'umask permet d'écrire le fichier de challenges avec des droits permettant à Apache de servir le fichier (le fichier étant créé en acme:acme, l'umask 027 ne le permet pas).

Pfoo : /* Génération du certificat */

2017-01-22T18:54:23Z

Génération du certificat

← Version précédente		Version du 22 janvier 2017 à 20:54
Ligne 137 :		Ligne 137 :
	mv /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem		mv /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem
	cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem		cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem
			chmod o-r /home/acme/work/networklab.fr/intermediate.pem /home/acme/work/networklab.fr/networklab.fr.pem
	</pre>		</pre>
	Le changement d'umask permet d'écrire le fichier de challenges avec des droits permettant à Apache de servir le fichier (le fichier étant créé en acme:acme, l'umask 027 ne le permet pas).		Le changement d'umask permet d'écrire le fichier de challenges avec des droits permettant à Apache de servir le fichier (le fichier étant créé en acme:acme, l'umask 027 ne le permet pas).

Pfoo : /* Génération du certificat */

2017-01-22T18:49:00Z

Génération du certificat

← Version précédente		Version du 22 janvier 2017 à 20:49
Ligne 116 :		Ligne 116 :
	#! /bin/bash		#! /bin/bash
	umask 022		umask 022
	python /home/acme/acme-tiny/acme_tiny.py --account-key /home/acme/secrets/~~core_account~~.key --csr /home/acme/work/networklab.fr/networklab.fr.csr --acme-dir /home/networklab.fr/www/challenges/ > /home/acme/work/networklab.fr/networklab.fr.crt		python /home/acme/acme-tiny/acme_tiny.py --account-key /home/acme/secrets/account.key --csr /home/acme/work/networklab.fr/networklab.fr.csr --acme-dir /home/networklab.fr/www/challenges/ > /home/acme/work/networklab.fr/networklab.fr.crt
	umask 027		umask 027
	wget -O /home/acme/work/networklab.fr/intermediate.pem.new https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem		wget -O /home/acme/work/networklab.fr/intermediate.pem.new https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem

Pfoo : /* Génération des clés */

2017-01-21T17:45:11Z

Génération des clés

← Version précédente		Version du 21 janvier 2017 à 19:45
Ligne 55 :		Ligne 55 :
	mkdir /home/acme/work/networklab.fr		mkdir /home/acme/work/networklab.fr
	chmod -R 750 /home/acme/work/		chmod -R 750 /home/acme/work/
	chmod -x /home/acme/work/*/		chmod -x /home/acme/work//
	</pre>		</pre>
	Ici pour le domaine networklab.fr, à adapter dans votre cas. On créé également un répertoire dédié au domaine dans work.		Ici pour le domaine networklab.fr, à adapter dans votre cas. On créé également un répertoire dédié au domaine dans work.

Pfoo : /* Génération des clés */

2017-01-21T17:43:52Z

Génération des clés

← Version précédente		Version du 21 janvier 2017 à 19:43
Ligne 55 :		Ligne 55 :
	mkdir /home/acme/work/networklab.fr		mkdir /home/acme/work/networklab.fr
	chmod -R 750 /home/acme/work/		chmod -R 750 /home/acme/work/
			chmod -x /home/acme/work/*/
	</pre>		</pre>
	Ici pour le domaine networklab.fr, à adapter dans votre cas. On créé également un répertoire dédié au domaine dans work.		Ici pour le domaine networklab.fr, à adapter dans votre cas. On créé également un répertoire dédié au domaine dans work.

Pfoo : /* Configuration pour la demande du certificat */

2017-01-10T21:00:05Z

Configuration pour la demande du certificat

← Version précédente		Version du 10 janvier 2017 à 23:00
Ligne 93 :		Ligne 93 :
	Order allow,deny		Order allow,deny
	Allow from all		Allow from all
			DirectoryIndex disabled
	</Directory>		</Directory>
	Alias /.well-known/acme-challenge "/home/networklab.fr/www/challenges"		Alias /.well-known/acme-challenge "/home/networklab.fr/www/challenges"

Pfoo : /* Génération du certificat */

2016-03-29T18:04:54Z

Génération du certificat

← Version précédente		Version du 29 mars 2016 à 20:04
Ligne 133 :		Ligne 133 :

	#only done if no error		#only done if no error
	cp /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem		mv /home/acme/work/networklab.fr/intermediate.pem.new /home/acme/work/networklab.fr/intermediate.pem
	cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem		cp /home/acme/work/networklab.fr/networklab.fr.crt /home/acme/work/networklab.fr/networklab.fr.pem
	</pre>		</pre>

Sécuriser ses sites avec letsencrypt et acme-tiny - Historique des versions

Pfoo : /* Configuration de la vhost et reload d'Apache */

Pfoo : /* Configuration pour la demande du certificat */

Pfoo : /* Pré-configuration (pour la première utilisation) */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération des clés */

Pfoo : /* Génération des clés */

Pfoo : /* Configuration pour la demande du certificat */

Pfoo : /* Génération du certificat */

Pfoo : /* Configuration de la vhost et reload d'Apache */

Pfoo : /* Configuration pour la demande du certificat */

Pfoo : /* Pré-configuration (pour la première utilisation) */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération du certificat */

Pfoo : /* Génération des clés */

Pfoo : /* Génération des clés */

Pfoo : /* Configuration pour la demande du certificat */

Pfoo : /* Génération du certificat */