Permet de chiffrer: migration à partir de TLS-SNI-01

• Le problème
• Passer à HTTP simple
• Passer à la validation DNS

Let's Encrypt est un service gratuit qui génère des certificats pour sécuriser votre site Web. Il prend en charge la génération de différents types de certificats, y compris le domaine unique et le caractère générique. De plus, il dispose de nombreuses méthodes pour authentifier votre domaine afin de générer un certificat.

• http-01 (HTTP simple)
• dns-01 (Validation DNS)
• tls-sni-01(Validation par l'utilisation d'un certificat auto-signé - désormais obsolète )

Le problème

Malheureusement, une vulnérabilité a été découverte en janvier 2018 où il est devenu possible de générer des certificats pour des domaines sans authentification / autorisation préalable. Par exemple, des certificats peuvent être générés pour des domaines que vous ne possédez pas réellement.

Peu de temps après, le protocole ( tls-sni-01) a été interrompu et la plupart des nouvelles émissions (nouveaux certificats) n'ont pas pu utiliser le protocole pour s'authentifier.

Passer à HTTP simple

Le passage à http-01ou l'authentification "Simple HTTP" est assez simple. Si vous utilisez certbot-autopour générer vos certificats, Let's Encrypt aura déjà généré un nouveau certificat ou le fera automatiquement lors du prochain "renouvellement".

Si vous utilisez certbot, vous devez utiliser le --preferred-challengeparamètre:

certbot (...) --prefered-challenge

Cela indiquera à Let's Encrypt de basculer vers http-01.

Passer à la validation DNS

Si vous voulez éviter tous ces tracas, il est relativement facile de configurer la validation DNS de Let's Encrypt. Lors de l'exécution certbot, ajoutez --preferred-challenges dnscomme paramètre:

certbot -d example.com --manual --preferred-challenges dns

certbot imprimera quelque chose de semblable au suivant:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

Une fois que vous avez ajouté l'enregistrement avec votre fournisseur DNS, appuyez sur ENTER. Vous devrez ensuite configurer un travail CRON pour renouveler automatiquement votre certificat. Comme la validation DNS a été utilisée, vous n'aurez pas à vous soucier de la redirection comme vous le feriez pour http-01(port 80à port 443).