Installation certifcat SSL

Important :

Voir aussi l'installation des certificats derrière le WAF#Ajouts_des_certificats_SSL_.28manuelle.29. Par sécurité, il faut installer les certificats dans les deux environnements : sur le serveur concerné ET sur les 2 haproxy du pare-feu. Si on arrête le pare-feu, c'est la conf apache qui prend le relai.

La configuration des certificats SSL se fait dans les fichiers de configuration apache :

/etc/apache2/sites-available/

On utilise l’exemple de la configuration de l’application lecture de apbp

//////////////////////

Placer les certificats sur le serveur

Il y a un certificat SSL pour les 3 domaines.

Il se trouve ici : /etc/apache2/ssl/2022/archives.agglo-pau.fr/ avec les 3 fichiers suivants :

1. archives.agglo-pau.fr.crt
2. archives.agglo-pau.fr.key
3. GandiStandardSSLCA2.pem

Dupliquer la configuration apache et créer la conf ssl

À priori, la configuration http existe déjà, sinon, il faut directement créer la configuration ssl.

Notice :

Convention : ajout de "-le-ssl" avant l'extension ".conf".

$ cp /etc/apache2/sites-available/archives-lecture.agglo-pau.fr.conf /etc/apache2/sites-available/archives-lecture.agglo-pau.fr-le-ssl.conf

Modifier archives-lecture.agglo-pau.fr-le-ssl.conf

Remplacer :

<VirtualHost *:80>
…
</VirtualHost>

par :

<IfModule mod_ssl.c>
	<VirtualHost *:443>
…
	</VirtualHost>
</IfModule>

S’assurer que :

SSLEngine on

est bien déclaré.

Ajouter en fin de configuration, après la déclaration de l’emplacement des logs et avant

        </VirtualHost>
</IfModule>

….

                        SSLCertificateFile /etc/apache2/ssl/2022/archives.agglo-pau.fr/archives.agglo-pau.fr.crt
                        # Ajout du certificat intermédiaire pour ce cas précis, avec le préfixe SSLCACertificateFile :
                        SSLCACertificateFile /etc/apache2/ssl/2022/archives.agglo-pau.fr/GandiStandardSSLCA2.pem
                        SSLCertificateKeyFile /etc/apache2/ssl/2022/archives.agglo-pau.fr/archives.agglo-pau.fr.key

                        SSLCipherSuite !EDH:!RC4:!ADH:!DSS:HIGH:+AES128:+AES256-SHA256:+AES128-SHA256:+SHA:!3DES:!NULL:!aNULL:!eNULL
                        SSLProtocol -ALL +TLSv1.2
                        SSLHonorCipherOrder on
        </VirtualHost>
</IfModule>
~

Activer le module SSL

sudo a2enmod ssl

Appliquer la configuration SSL

sudo a2ensite archives-lecture.agglo-pau.fr-le-ssl.conf

Tester la configuration SSL

Vérifie la syntaxe de la configuration. Cela ne veut pas dire que le certificat est bien pris en compte.

sudo service apache configtest

Ou, selon le serveur :

apachectl configtest

Pour afficher la liste HOSTS pris en compte.

configtest -S

Voir aussi les logs d'erreurs apache pour plus d'information, notamment en regardant les codes d'erreurs.

Si ok,

Redémarrer apache

sudo service apache2 restart

Vérification de la prise en compte du certificat

Vérifier sur https://www.ssllabs.com/

Si le résultat est "A", tout va bien.

Si le résultat affiche une erreur, voir les corrections proposées sur https://www.certificat-ssl.info/tutoriels/corriger-erreur-ssllabs

Erreurs possibles :

SSLLabs

Erreur SSLLabs : This server's certificate chain is incomplete :

Il faut ajouter le lien vers le certificat intermédiaire avec le préfixe SSLCACertificateFile

Par exemple, dans la configuration ci-dessus :

# Ajout du certificat intermédiaire pour ce cas précis, avec le préfixe SSLCACertificateFile :
SSLCACertificateFile /etc/apache2/ssl/2022/archives.agglo-pau.fr/GandiStandardSSLCA2.pem

Correction : https://www.certificat-ssl.info/tutoriels/corriger-erreur-ssllabs/this-server-certificate-chain-is-incomplete?format=amp

AH00112, AH00558 et AH02565

systemctl status apache2.service
● apache2.service - The Apache HTTP Server
     Loaded: loaded (/lib/systemd/system/apache2.service; enabled; vendor preset: enabled)
     Active: failed (Result: exit-code) since Wed 2025-06-11 08:13:05 CEST; 1h 22min ago
       Docs: https://httpd.apache.org/docs/2.4/
    Process: 2812 ExecStart=/usr/sbin/apachectl start (code=exited, status=1/FAILURE)

juin 11 08:13:05 pandor2022 systemd[1]: Starting The Apache HTTP Server...
juin 11 08:13:05 pandor2022 apachectl[2827]: AH00112: Warning: DocumentRoot [/home/ajlsm/drupals/web] does not exist
juin 11 08:13:05 pandor2022 apachectl[2827]: AH00112: Warning: DocumentRoot [/home/ajlsm/drupals/web] does not exist
juin 11 08:13:05 pandor2022 apachectl[2827]: AH00558: apache2: Could not reliably determine the server's fully qualified domain name, using 127.0.1.1. Set the 'ServerName' directive globally to suppress this message
juin 11 08:13:05 pandor2022 apachectl[2812]: Action 'start' failed.
juin 11 08:13:05 pandor2022 apachectl[2812]: The Apache error log may have more information.
juin 11 08:13:05 pandor2022 systemd[1]: apache2.service: Control process exited, code=exited, status=1/FAILURE
juin 11 08:13:05 pandor2022 systemd[1]: apache2.service: Failed with result 'exit-code'.
juin 11 08:13:05 pandor2022 systemd[1]: Failed to start The Apache HTTP Server.

Suite à cette erreur, regarder le fichier log de apache, pour le site concerné :

[ssl:emerg] [pid 2827] AH02565: Certificate and private key pandor.u-bourgogne.fr:80:0 from /etc/ssl/certs/pandor2022.u-bourgogne.fr.pem and /etc/ssl/private/pandor2022.u-bourgogne.fr.key do not match

La clé privée ne matche pas avec la nouvelle clé .pem Regénérer la clé privée