Il y a 389 articles et 19 utilisateurs inscrits (ce bandeau est défini dans MediaWiki:Sitenotice)
EOLE3 — Gestion des certificats Let's Encrypt
EOLE3 — Gestion des certificats Let's Encrypt
[modifier | modifier le wikicode]1. Principe
[modifier | modifier le wikicode]Les certificats TLS sont générés via Let's Encrypt avec certbot.
Ils sont utilisés pour :
- cockpit (HTTPS)
- sftpgo (HTTPS via Apache)
Les certificats sont stockés dans :
/etc/letsencrypt/live/<domaine>/
2. Génération initiale
[modifier | modifier le wikicode]certbot --apache -d domaine
Exemple :
certbot --apache -d cockpit.ajlsm.com
3. Renouvellement automatique
[modifier | modifier le wikicode]Let's Encrypt expire tous les 90 jours.
Le renouvellement est automatique via systemd :
systemctl list-timers | grep certbot
4. Test manuel
[modifier | modifier le wikicode]certbot renew --dry-run
Résultat attendu :
- aucun message d’erreur
- simulation OK
5. Vérification des certificats
[modifier | modifier le wikicode]openssl x509 -enddate -noout -in /etc/letsencrypt/live/domaine/cert.pem
Ou :
certbot certificates
6. Vérification Apache
[modifier | modifier le wikicode]Après renouvellement :
apachectl configtest systemctl reload apache2
7. Problèmes courants
[modifier | modifier le wikicode]Certificat expiré
[modifier | modifier le wikicode]Cause :
- renouvellement automatique échoué
Solution :
certbot renew
Challenge HTTP échoue
[modifier | modifier le wikicode]Cause :
- port 80 bloqué
- rewrite Apache incorrect
Vérifier :
Apache bloque certbot
[modifier | modifier le wikicode]Cause :
- vhost mal configuré
Solution :
apachectl configtest
DNS incorrect
[modifier | modifier le wikicode]Cause :
- domaine ne pointe plus vers le serveur
Solution :
vérifier enregistrement A
8. Bonnes pratiques
[modifier | modifier le wikicode]- tester régulièrement :
certbot renew --dry-run
- surveiller expiration (monitoring recommandé)
- ne pas modifier manuellement /etc/letsencrypt
- garder le port 80 ouvert pour les challenges
9. Sécurité
[modifier | modifier le wikicode]- utiliser uniquement HTTPS (443)
- redirection HTTP → HTTPS
- restreindre Cockpit par IP
10. Supervision recommandée
[modifier | modifier le wikicode]À mettre en place :
- alerte expiration certificat (< 30 jours)
- test HTTPS externe (curl ou monitoring Centreon)
Exemple :
curl -Ik https://cockpit.ajlsm.com