Un certificat SSL active le HTTPS sur votre site : il prouve l'identité de votre serveur et chiffre les échanges avec vos visiteurs. Dans la console Apanel, la page Sécurisation SSL vous propose de laisser SwissCenter s'en charger avec Let's Encrypt (gratuit), d'installer un certificat que vous avez acheté, ou de générer un certificat auto-signé pour un cas particulier.
En bref : sur nos serveurs actuels, Let's Encrypt est activé par défaut et renouvelé automatiquement : rien à faire si le domaine pointe vers nos serveurs. Pour un certificat acheté : Gestion de l'hébergement, Sécurisation SSL, Installer un certificat.
Prérequis
- Le domaine doit pointer vers nos serveurs : un certificat ne peut être délivré que pour un nom qui répond chez nous. Voir l'article sur les enregistrements DNS.
Ouvrir la page Sécurisation SSL
- Connectez-vous à votre console Apanel.
- Depuis le tableau de bord, cliquez sur le nom de votre domaine pour ouvrir la Gestion de l'hébergement.
- Dans la carte Site web, cliquez sur Sécurisation SSL.
La page Modes de sécurisation présente ce que votre serveur propose.
Let's Encrypt est-il activé par défaut ?
Sur nos serveurs actuels, Let's Encrypt est activé par défaut pour tous vos domaines : le certificat est délivré et renouvelé automatiquement, vous n'avez rien à faire. La page n'affiche d'ailleurs aucun bouton pour ce mode.
Si votre site est placé derrière un proxy tel que Cloudflare, voyez la section En cas de problème plus bas.
Sur un ancien serveur
Sur un ancien serveur, la page affiche un bouton Activer le service sous Let's Encrypt. Le principe est le même, mais vous l'activez vous-même :
- Cliquez sur Activer le service.
- Dans le bloc Let's Encrypt, mettez Activer le support SSL sur oui.
- Cochez les Domaine(s) à certifier. Si la liste est vide, c'est que le domaine ne pointe pas chez SwissCenter.
- Cliquez sur Sauvegarder.
Le message La demande d'activation de votre certificat a bien été transmise s'affiche : l'opération peut prendre jusqu'à 5 minutes. Une fois le certificat délivré, la page vous propose d'activer la redirection automatique vers HTTPS (voir plus bas).
Quand installer votre propre certificat ?
Ce choix ne se justifie que si vous avez déjà acheté un certificat auprès d'une autorité de certification, par exemple pour une validation d'organisation.
Ce dont vous avez besoin
L'autorité de certification vous remet, ou vous fait générer, plusieurs éléments :
- le certificat principal (fichier
.crt) ;
- la clé privée (fichier
.key), créée en même temps que la demande de certificat. Elle reste secrète : ne la transmettez à personne d'autre qu'à ce formulaire ;
- le certificat intermédiaire, si l'autorité vous en fournit un (second fichier
.crt).
Pour créer la demande de certificat (CSR) et la clé privée vous-même, la commande OpenSSL habituelle est :
openssl req -new -newkey rsa:2048 -nodes -keyout votredomaine.key -out votredomaine.csr
Le fichier .csr est celui que vous envoyez à l'autorité de certification ; le fichier .key reste chez vous.
Installer le certificat
- Sur la page Sécurisation SSL, cliquez sur Installer un certificat.
- Dans Certificat principal, copiez le contenu de votre fichier
.crt, de -----BEGIN CERTIFICATE----- à -----END CERTIFICATE----- compris.
- Dans Clé privée, copiez le contenu de votre fichier
.key.
- Dans Certificat intermédiaire, copiez le contenu de votre deuxième fichier
.crt, si vous en avez un. Ce champ est facultatif.
- Cliquez sur Sauvegarder.
Une fois le certificat installé, la page affiche son contenu : le nom du site, l'autorité qui l'a délivré, la date d'expiration et les noms couverts. Pensez à le renouveler avant cette date : un certificat personnel n'est pas renouvelé automatiquement.
Le bouton Désinstaller le certificat (avec confirmation) supprime le certificat personnel.
Quand générer un certificat auto-signé ?
Ce mode est prévu pour un site servi derrière un proxy inverse, par exemple Cloudflare en mode « Full ». Le proxy exige que notre serveur réponde en HTTPS, mais ne vérifie pas le certificat. Cliquez sur Générer le certificat puis confirmez : il est installé comme certificat personnel et couvre tous les noms du site.
N'utilisez pas ce mode pour un site visité directement : les visiteurs qui ne passent pas par le proxy verraient un avertissement de sécurité dans leur navigateur.
Comment rediriger les visiteurs vers HTTPS ?
Un certificat seul ne suffit pas à ce que tous vos visiteurs arrivent en HTTPS. Pour rediriger automatiquement http:// vers https://, suivez l'article Forcer le HTTPS sur tout votre site.
Corrigez aussi les liens, images, scripts et feuilles de style de vos pages qui appellent encore une adresse en http:// : une seule ressource restée en HTTP suffit à déclencher un avertissement du navigateur (« contenu mixte »).
En cas de problème
- « Valeur incorrecte » sous le certificat ou la clé : le formulaire vérifie que le certificat est lisible, que la clé privée correspond à ce certificat et, si vous en fournissez un, que le certificat intermédiaire est lisible. Recopiez chaque fichier en entier, sans espace ajouté ni ligne coupée, et vérifiez que la clé est bien celle générée avec la demande de certificat.
- Le navigateur signale un certificat non valide sur un site derrière Cloudflare ou un autre proxy : le certificat Let's Encrypt automatique ne peut pas être délivré quand le nom pointe vers le proxy et non vers nos serveurs. Utilisez le certificat auto-signé décrit plus haut, avec le mode « Full » du proxy.
- La liste des domaines à certifier est vide (ancien serveur) : le domaine ne pointe pas chez SwissCenter. Corrigez d'abord le DNS.
- Le site s'affiche encore en HTTP : le certificat ne redirige pas seul. Voir la section précédente.
- Pour voir le certificat que reçoivent vos visiteurs, analysez votre domaine sur diag.swisscenter.com : dans la carte Site web (TLS & HTTP), la rubrique Certificat TLS (443) indique Valide avec le nombre de jours restants, l'Émetteur et les noms couverts (Noms (SAN)), ou Refusé par un navigateur avec le Motif, en anglais (certificat expiré, nom non couvert, chaîne incomplète). L'outil retire
www. du nom saisi : il contrôle le domaine sans www. Voir Diagnostiquer votre domaine et votre messagerie avec l'outil de diagnostic SwissCenter.
Si le problème persiste, contactez notre support en indiquant le nom de domaine.
Pour aller plus loin