Questions fréquentes

Vous pouvez vérifier l’intégrité d’un certificat SSL et d’une paire de clés privées à l’aide de l’utilitaire
OpenSSL
et ses lignes de commande.

Le processus se déroule en quatre étapes :

1. Vérifiez que la clé privée n’a pas été modifiée.
2. Vérifier la correspondance entre la valeur du module, la clé privée et la paire de certificats SSL.
3. Cryptage avec la clé publique du certificat et décryptage avec la clé privée.
4. Confirmer l’intégrité du fichier, qui est signé avec la clé privée.

Vérifier l’intégrité de la clé privée

Exécutez la commande suivante : openssl rsa -in [key-file .key] -check -noout

Voici un exemple de clé privée corrompue :

D’autres erreurs résultant d’une clé altérée ou falsifiée sont énumérées ci-dessous :

• Erreur de clé RSA : p n’est pas premier
• Erreur de clé RSA : n n’est pas égal à p q
• Erreur de clé RSA : d e non congru à 1
• Erreur de clé RSA : dmp1 non congruent à d
• Erreur de clé RSA : iqmp n’est pas l’inverse de q

Si vous avez rencontré l’une des erreurs ci-dessus, votre clé privée a été altérée et peut ne pas fonctionner avec votre clé publique. Envisagez de créer une nouvelle clé privée et de demander un certificat de remplacement.

Voici un exemple de clé privée qui respecte l’intégrité :

Vérifier la correspondance entre la valeur du module, la clé privée et la paire de certificats SSL.

Si vous préférez ne pas exécuter les commandes, collez les deux fichiers dans le Comparateur de clés de certificat et lisez le verdict.

Remarque :

Le module de la clé privée et du certificat doit correspondre exactement.

Pour afficher le module du certificat, exécutez la commande suivante :

openssl x509 -noout -modulus -in [certificate-file .cer]

Pour afficher la clé privée Modulus, exécutez la commande :

openssl rsa -noout -modulus -in [key-file .key]

Cryptage avec la clé publique et décryptage avec la clé privée

1. Obtenez la clé publique du certificat:

openssl x509 -in [certificate-file .cer] -noout -pubkey > certificatefile.pub.cer

2. Chiffrer le contenu du fichier test.txt à l’aide de la clé publique

Créez un nouveau fichier appelé test.txt (vous pouvez utiliser le Bloc-notes) avec le contenu « message test ». Exécutez la commande suivante pour créer un message crypté dans le fichier cipher.txt.

openssl rsautl -encrypt -in test.txt -pubin -inkey certificatefile.pub.cer -out cipher.txt

3. Décryptage de cipher.txt à l’aide de la clé privée
Exécutez la commande suivante pour décrypter le contenu de cipher.txt.

openssl rsautl -decrypt -in cipher.txt -inkey [key-file .key]

Assurez-vous que vous pouvez déchiffrer le contenu de votre fichier cipher.txt sur votre terminal. La sortie du terminal doit correspondre au contenu du fichier test.txt.

Si le contenu ne correspond pas, la clé privée a été altérée et peut ne pas fonctionner avec votre clé publique. Envisagez de créer une nouvelle clé privée et de demander un certificat de remplacement. Voici un exemple de message décrypté :

4. Confirmer l’intégrité du fichier signé avec la clé privée

Exécutez la commande suivante pour signer les fichiers test.sig et test.txt avec votre clé privée :

openssl dgst -sha256 -sign [key-file .key] -out test.sig test.txt

Maintenant, vérifiez les fichiers signés avec votre clé publique extraite à l’étape 1.

openssl dgst -sha256 -verify certificatefile.pub.cer -signature test.sig test.txt

Assurez-vous que la sortie du terminal est exactement comme dans l’exemple ci-dessous :

Si votre clé privée est falsifiée, vous recevrez le message suivant :

Dans ce cas, vous devez créer une nouvelle clé privée et demander un certificat de remplacement.

Source : Base de connaissances de Digicert

Copier le lien

Dans votre répertoire ~/public sur votre serveur, vous pouvez trouver le dossier .well-known. Les URI bien connus sont des identificateurs de ressources uniformes pour des services ou des informations bien connus, disponibles de manière cohérente sur tous les serveurs à des URL.

Certains serveurs créent automatiquement le dossier .well-known , mais il arrive que vous deviez l’ajouter manuellement. Ce répertoire sert de protocole web pour récupérer les métadonnées d’un site avant d’effectuer une requête.

À quoi sert le dossier .well-known ?

Lors de la commande d’un certificat SSL, vous devez prouver la propriété du domaine dans le cadre du DCV. Si vous choisissez la méthode HTTP/HTTPS, vous devrez créer le répertoire .well-known, le dossier dans lequel vous devez télécharger un fichier TEXTE pour que l’autorité de certification analyse et approuve votre demande SSL.

Le fichier doit être accessible par un lien direct sur le site web. Une fois que vous avez ajouté le fichier de validation, le système d’exploration de l’autorité de certification analyse votre site web et recherche le fichier. Une fois qu’il l’aura trouvé, vous devriez réussir la validation du domaine en quelques minutes.

Copier le lien

Pour créer le dossier well-known, vous devez avoir accès à votre serveur via un client SFTP, un panneau de contrôle d’hébergement web ou tout autre moyen approprié. Voici comment créer le dossier .well-known sur les plateformes les plus populaires :

Comment créer le dossier .well-known sur les serveurs basés sur Linux ?

Les instructions ci-dessous sont valables pour les serveurs Ubuntu, Debian et CentOS.

1. Allez dans le répertoire racine de votre site web
2. Créer un répertoire appelé « .well-known »
3. A l’intérieur de celui-ci, créez un autre dossier appelé « pki-validation »
4. Télécharger le fichier TXT dans le répertoire « pki-validation ».

Comment créer le dossier .well-known dans cPanel ?

1. Connectez-vous à WHM, ou sautez cette étape si vous n’avez pas WHM.
2. Localisez et connectez-vous au compte cPanel de votre nom de domaine
3. Cliquez sur « Gestionnaire de fichiers »
4. Choisissez l’option « Racine Web (public_html/www) » et cliquez sur « Go ».
5. Créer un nouveau dossier appelé .well-known
6. Dans ce dossier, créez un autre dossier appelé : pki-validation
7. Téléchargez votre fichier TXT dans le dossier pki-validation

Comment créer le dossier .well-known dans Plesk ?

1. Utilisez l’option Gestionnaire de fichiers et accédez à la section Fichiers dans le menu de droite.
2. Vous devez créer le dossier.well-known dans le dossier racine du document par défaut de votre domaine, qui dans Plesk est httpdocs.
3. Pour créer le dossier, sélectionnez Nouveau, puis Créer un répertoire.
4. Dans ledossier .well-known, créez le sous-dossier pki-validation .
5. Utilisez le bouton Upload pour ajouter le fichier TXT de validation dans le dossier pki-validation.

Comment créer le dossier .well-known dans les serveurs Windows IIS ?

Les serveurs Windows ne permettent pas de placer un point dans le nom d’un dossier, c’est pourquoi vous devez suivre les étapes suivantes :

1. Accéder au lecteur C :.
2. Créer un nouveau dossier appelé bien connu
3. Dans le dossier bien connu, créez un autre dossier nommé pki-validation.
   Jusqu’à présent, vos dossiers devraient ressembler à ceci : C:well-knownpki-validation
4. Télécharger le fichier TXT dans le dossier pki-validation
5. Ouvrez le gestionnaire IIS sur votre serveur
6. Cliquez avec le bouton droit de la souris sur votre site web et sélectionnez Ajouter un répertoire virtuel.
7. Dans la section Alias, écrivez .well-known
8. Dans la zone Chemin psychique, entrez le chemin d’accès au dossier bien connu. Par exemple :
   C:bien connu
9. Appuyez sur OK pour créer cet alias

Comment créer un dossier .well-known dans WordPress ?

Vous pouvez créer un dossier .well-known dans WordPress de trois manières différentes.

1. Utilisation d’un plugin spécial
2. Par l’intermédiaire de votre panneau d’hébergement
3. Via un client SFTP tel que FileZilla

Nous ne recommandons pas l’utilisation d’un plugin, car il peut entraîner des problèmes de compatibilité et de sécurité au fil du temps. Au lieu de cela, utilisez nos instructions ci-dessus pour créer le dossier .well-known dans cPanel, le panneau d’hébergement le plus populaire.

Si vous n’avez pas cPanel, utilisez un client SFTP. Connectez-vous à votre serveur et dans votre dossier ~/public, cherchez le répertoire .well-knwon. S’il ne s’y trouve pas, faites un clic droit sur le dossier public, choisissez Créer un répertoire et nommez le nouveau répertoire .well-known.

Comment créer un dossier .well-known dans AWS ?

1. Utilisez la commande bash pour créer le dossier .well-known.dans l’instance AWS EC2 :
   mkdir -p .well-known/pki-validation
2. Placez votre fichier de validation dans le sous-dossier pki-validation :
   nano .well-known/pki-validation/HashFileName.txt

Comment créer le fichier .well-known dans le serveur macOS X ?

Connectez-vous à votre serveur via le client FTP intégré ou l’interface de ligne de commande.

FTP

1. Appuyer sur Commande+K
2. Dans la fenêtre Connexion au serveur, entrez l’adresse du serveur FTP. Par exemple, ftp://ftp.yourdomain.com. Cliquez sur connecter.
3. Ensuite, entrez votre nom d’utilisateur et votre mot de passe FTP et cliquez à nouveau sur Connecter.
4. Trouvez le répertoire racine de votre domaine.
5. Créer un répertoire appelé .well-known
6. A l’intérieur du. bien connu, créez un autre dossier appelé pki-validation.
7. Télécharger le fichier TXT dans le répertoire pki-validation

Interface de ligne de commande

Vous pouvez utiliser SSH et le protocole Secure Copy pour télécharger le fichier TXT.

scp AC3E5D6I8G12935LSJEIK.txt

your_username@hostname:tld://Library/WebServer/Documents/.well-known/pki-validation

Où ‘AC3E5D6I8G12935LSJEIK.txt’ est le nom du fichier de validation, ‘your_username’est le nom d’utilisateur de votre compte serveur, ‘hostname.tld’ est le nom d’hôte de votre serveur Mac OSX, et ‘/Library/WebServer/Documents/’ est le répertoire par défaut du dossier racine du document.

Pour tous les types de serveurs, si vous avez tout fait correctement, vous devriez pouvoir ouvrir l’URL suivante et voir le code de hachage ainsi que « comodoca.com » dans n’importe quel navigateur web :

http://mywebsite.com/.well-known/pki-validation/HashFileName.txt

Copier le lien

Oui, vous pouvez consulter les informations contenues dans votre RSE en utilisant notre outil de décodage de la RSE. Il effectue un processus opposé au cryptage.

Copier le lien

Un RSC est émis immédiatement. Il vous sera délivré dès que vous aurez rempli le générateur de CSR SSL ci-dessus.

Copier le lien

Que vous ayez accidentellement ou volontairement saisi des informations incorrectes lors de l’utilisation de l’outil de génération de CSR, la CSR et la clé privée vous seront tout de même délivrées immédiatement. Toutefois, lorsque vous utilisez le code CSR pour demander un certificat SSL, celui-ci peut vous être délivré ou non. L’autorité de certification est libre d’approuver ou de refuser l’émission de votre certificat SSL si vous avez saisi des informations incorrectes sur vous et votre entreprise.

Si vous vous rendez compte que vous avez saisi des informations incorrectes lors de la création de la RSC, il vous suffit de mettre de côté, d’ignorer ou de supprimer votre RSC et votre clé privée existantes. Ensuite, vous devez générer un nouveau code CSR (qui générera automatiquement une nouvelle clé privée), en utilisant des informations correctes sur vous-même et votre entreprise. Utilisez la CSR la plus récente lorsque vous demandez un certificat SSL, puis votre clé privée la plus récente lorsque vous installez votre certificat SSL sur votre site web et votre serveur.

Copier le lien

La RSC contient les informations cryptées suivantes : votre pays, votre état, votre ville, le nom de votre organisation, le service de votre organisation, le nom de domaine pour lequel vous souhaitez que le certificat SSL soit émis, et l’adresse électronique à laquelle votre code RSC et la clé privée seront envoyés une fois qu’ils auront tous deux été générés.

Copier le lien

Un certificat SSL Wildcard multi-domaines est spécifiquement créé pour permettre aux utilisateurs de sécuriser plusieurs domaines et sous-domaines à l’aide d’un seul certificat SSL.

NOTE #1 : Tout certificat SSL Wildcard multi-domaine doit commencer par un domaine non Wildcard. Cela signifie qu’à chaque fois que vous configurez et demandez un certificat SSL Wildcard multi-domaines, vous devez générer une CSR (Certificate Signing Request) pour un seul domaine (tel que : example.com), sans le signe astérisque « * ». Il s’agit d’une exigence des autorités de certification. Tous les SAN supplémentaires (2ème, 3ème, 4ème domaines) peuvent être des domaines Wildcard.

Par exemple, un certificat SSL Wildcard multi-domaines qui a 3 SAN (4 domaines) par défaut, vous permet de sécuriser les éléments suivants :

1. Un domaine principal et plusieurs domaines Wildcard :
   1. exemple.com – inclus dans la CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mysite.com
   4. *.abcxyz.com
2. Un domaine principal et plusieurs domaines Wildcard (avec des sous-domaines de 1er niveau et de 2e niveau) :
   1. exemple.com – inclus dans la CSR (Certificate Signing Request)
   2. *.example.com
   3. *.mob.example.com
   4. *.mysite.com
3. Plusieurs domaines et plusieurs domaines Wildcard (avec des sous-domaines de 1er niveau et de 2e niveau) :
   1. exemple.com – inclus dans la CSR (Certificate Signing Request)
   2. *.example.com
   3. mysite.com
   4. *.mob.mysite.com

NOTE #2 : Si vous ajoutez un élément SAN comme *.domain.com, vous protégerez ses sous-domaines illimités mais pas le domaine principal. Par exemple, si vous voulez sécuriser deux domaines et tous leurs sous-domaines, vous devez configurer votre SSL dans le format suivant :

1. domain.com – inclus dans la CSR (Certificate Signing Request)
2. *.domain.com
3. mysite.com
4. *.mysite.com

Vous pouvez ajouter des sous-domaines à votre serveur et ils seront automatiquement couverts par votre certificat Wildcard SSL. Vous n’avez pas besoin de réémettre votre certificat SSL Wildcard à chaque fois que vous y ajoutez des sous-domaines. Les sous-domaines nouvellement ajoutés seront automatiquement couverts par votre certificat Wildcard SSL.

Copier le lien

Le « certificat SSL » est l’abréviation de « Security Socket Layers Certificate ». Ce protocole a été créé pour protéger les données circulant entre deux machines grâce au cryptage des données.

Toutes les informations provenant d’Internet sont transférées d’un endroit à un autre sous la forme du langage HTTP (Hyper Text Transfer Protocol). Mais le HTTP en lui-même n’est pas protégé et est susceptible d’être utilisé par les escrocs et les voleurs de l’internet. C’est pourquoi les certificats SSL ont été développés pour protéger les informations qui circulent sur l’internet.

Vous connaissez peut-être les certificats SSL grâce à certains éléments courants que vous voyez dans votre navigateur : le cadenas, le « HTTPS » sur l’onglet du navigateur (lorsque le protocole HTTP est protégé par SSL, il hérite de la lettre « S »).

Tous ces éléments indiquent que le site web que vous utilisez dispose d’un cryptage SSL et que les informations qu’il contient sont protégées contre les cyberattaques.

Copier le lien

La garantie d’un certificat SSL est une assurance qui couvre les dommages que vous pourriez subir à la suite d’une violation de données ou d’un piratage causé par une faille dans le certificat. La valeur des garanties SSL varie de 5 000 à 1 500 000 dollars. Cela signifie que les certificats de valeur supérieure sont assortis de garanties plus étendues.

Copier le lien