Comment installer un certificat SSL sur ISPConfig

Dans ce tutoriel, vous apprendrez comment installer un certificat SSL sur ISPConfig. ISPConfig gère le SSL par site web : vous ouvrez le site dans le panneau, accédez à son onglet SSL, puis collez le certificat, la clé privée et le bundle CA dans les champs correspondants. Vous pouvez également laisser ISPConfig émettre et renouveler automatiquement un certificat gratuit Let’s Encrypt en cochant une simple case. Nous couvrons les deux méthodes ci-dessous.

Générer le CSR sur ISPConfig

Si vous avez déjà généré le CSR et reçu votre certificat de l’autorité de certification, passez la première section et allez directement aux étapes d’installation.

Une demande de signature de certificat (CSR) est un bloc de texte encodé contenant des détails sur votre site web et votre organisation. L’autorité de certification en a besoin pour émettre votre certificat SSL. Vous avez deux options :

• Utilisez notre générateur de CSR pour créer le CSR automatiquement.
• Suivez notre tutoriel étape par étape sur comment générer un CSR sur ISPConfig.

Si vous générez le CSR directement dans ISPConfig, ouvrez l’onglet SSL du site, remplissez l’état, le pays et les autres champs d’organisation, réglez SSL Action sur Create Certificate, puis enregistrez. ISPConfig écrit la demande dans le champ SSL Request et la clé privée correspondante dans le champ SSL Key. Copiez l’intégralité du contenu du champ SSL Request, y compris les lignes —–BEGIN CERTIFICATE REQUEST—– et —–END CERTIFICATE REQUEST—–, et collez-le dans votre formulaire de commande SSL.

Remarque : laissez la clé privée générée automatiquement dans le champ SSL Key inchangée jusqu’à ce que votre certificat soit émis. Le certificat renvoyé par l’autorité de certification ne fonctionne qu’avec la clé exacte créée en même temps que le CSR. Si vous préférez ne pas acheter de certificat et utiliser un certificat gratuit à renouvellement automatique, vous n’avez pas besoin de CSR du tout : passez directement à la section Let’s Encrypt.

Installer un certificat SSL sur ISPConfig

Une fois que l’autorité de certification a validé votre demande, elle vous envoie les fichiers SSL par e-mail. Téléchargez l’archive ZIP et extrayez-la sur votre ordinateur. Vous devriez obtenir :

• votredomaine.crt, votre certificat SSL principal.
• votredomaine.ca-bundle, les certificats racine et intermédiaires (le bundle CA).
• votredomaine.key, la clé privée générée avec votre CSR. Si vous avez créé le CSR dans ISPConfig, cette clé se trouve déjà dans le champ SSL Key et vous pouvez laisser ce champ tel quel.

Ouvrez chaque fichier avec un éditeur de texte brut (comme le Bloc-notes) afin de pouvoir en copier le contenu. Connectez-vous ensuite au panneau de contrôle ISPConfig et suivez ces étapes :

• Dans la navigation supérieure, ouvrez Sites.
• Cliquez sur le nom de domaine que vous souhaitez sécuriser.
• Ouvrez l’onglet SSL. (Si l’onglet SSL est absent, activez d’abord SSL dans l’onglet Domain et enregistrez.)
• Dans le champ SSL Key, collez votre clé privée, y compris les lignes —–BEGIN PRIVATE KEY—– et —–END PRIVATE KEY—–. Si ISPConfig a généré le CSR, la clé correcte s’y trouve déjà, donc laissez-la inchangée.
• Dans le champ SSL Certificate, supprimez tout texte préexistant et collez votre certificat principal, y compris les lignes —–BEGIN CERTIFICATE—– et —–END CERTIFICATE—–. Il s’agit du fichier avec l’extension .crt.
• Dans le champ SSL Bundle, collez le bundle CA complet (la chaîne des certificats intermédiaires). Copiez et collez l’intégralité du contenu du fichier .ca-bundle.
• À côté de SSL Action, sélectionnez Save Certificate, puis cliquez sur Save.

Pour référence, le certificat, la clé et le bundle que vous collez sont des blocs encodés au format PEM. Chacun commence et se termine par cinq tirets de part et d’autre de l’étiquette, comme ceci :

-----BEGIN CERTIFICATE-----
MIIF...your certificate data...AB
-----END CERTIFICATE-----

-----BEGIN PRIVATE KEY-----
MIIE...your private key data...cd
-----END PRIVATE KEY-----

C’est tout. ISPConfig écrit le certificat sur le serveur et recharge le serveur web pour vous, il n’est donc pas nécessaire de redémarrer quoi que ce soit manuellement. Votre site est désormais accessible via HTTPS.

SSL gratuit avec Let’s Encrypt

Si vous n’avez pas besoin de la validation d’organisation ou de la garantie d’un certificat payant, ISPConfig peut émettre un certificat gratuit Let’s Encrypt et le renouveler automatiquement. C’est l’option la plus simple pour la plupart des sites web, car il n’y a pas de CSR, pas de fichiers à coller, et pas de renouvellement manuel. ISPConfig 3.2 et versions ultérieures intègre Let’s Encrypt de façon native.

• Ouvrez Sites et cliquez sur le domaine que vous souhaitez sécuriser.
• Dans l’onglet Domain, cochez la case SSL et la case Let’s Encrypt SSL.
• Cliquez sur Save. ISPConfig demande le certificat à Let’s Encrypt et l’installe sur le site.

Avant de l’activer, assurez-vous que le domaine (ainsi que tout alias www ou sous-domaine coché) pointe déjà vers ce serveur dans le DNS et que le port 80 est accessible depuis internet. Let’s Encrypt valide le domaine via HTTP avant l’émission, donc l’émission échoue si le nom ne pointe pas encore vers le serveur. Les certificats Let’s Encrypt sont valables 90 jours, et ISPConfig les renouvelle automatiquement avant leur expiration, donc une fois la case cochée, vous pouvez la laisser telle quelle.

Testez votre installation SSL

Après avoir installé le certificat, effectuez une analyse SSL pour confirmer que la chaîne est complète et détecter d’éventuelles erreurs de configuration ou intermédiaires manquants. Le moyen le plus rapide est d’ouvrir votre site avec https:// et de vérifier la présence du cadenas, mais un scanner vous donne une vue d’ensemble complète. Utilisez notre SSL Checker pour obtenir un rapport de statut instantané.

Si vous avez un accès SSH au serveur, vous pouvez également lire le certificat servi par ISPConfig directement depuis la ligne de commande. Cette commande affiche l’émetteur et les dates de validité du certificat actif :

echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -issuer -dates

Questions fréquemment posées