Comment installer un certificat SSL sous Linux

Dans ce tutoriel, vous apprendrez comment installer un certificat SSL sur Linux exécutant le serveur web Apache (httpd).

Les exemples utilisent Red Hat Enterprise Linux (RHEL) et ses proches parents (Rocky Linux, AlmaLinux, CentOS, Fedora), où Apache est le paquet httpd et où la configuration se trouve sous /etc/httpd/. La dernière section propose des recommandations d’achat SSL pour les serveurs Red Hat Linux.

Générer la CSR sur Linux

Si vous avez déjà généré votre CSR et reçu votre certificat, passez directement à la section d’installation.

Une CSR (Certificate Signing Request) est un petit bloc de texte encodé contenant des informations sur votre domaine et, pour les certificats professionnels, sur votre organisation. La génération d’une CSR est une étape obligatoire du processus de commande SSL ; chaque autorité de certification commerciale en demande une avant d’émettre votre certificat. Vous avez deux options :

• Générer la CSR automatiquement avec notre Générateur de CSR.
• Suivre notre tutoriel étape par étape sur comment générer une CSR sur Red Hat Linux.

Soumettez la CSR à l’autorité de certification lors du paiement. Une fois que la CA l’a validée et a émis votre certificat SSL, poursuivez avec l’installation ci-dessous.

Installer un certificat SSL sur Linux (Red Hat / Apache)

Après la validation, votre autorité de certification vous envoie par e-mail une archive ZIP contenant les fichiers d’installation. Téléchargez-la et extrayez-la. Vous devriez obtenir :

• yourdomain.crt, votre certificat SSL principal (le certificat feuille).
• yourdomain.ca-bundle, les certificats intermédiaires, aussi appelés bundle CA.
• yourdomain.key, la clé privée que vous avez générée avec la CSR.

Si votre CA vous a envoyé le certificat sous forme de texte plutôt que de fichiers, ouvrez le certificat principal, copiez tout, y compris les lignes —–BEGIN CERTIFICATE—– et —–END CERTIFICATE—–, et enregistrez-le sous le nom yourdomain.crt. Faites de même pour le bundle CA. Suivez les étapes ci-dessous pour terminer l’installation.

Étape 1 : Installer le module SSL (mod_ssl)

Sur les systèmes basés sur Red Hat, la prise en charge HTTPS provient du paquet mod_ssl. Installez-le (sur RHEL 8/9 et Fedora, utilisez dnf ; sur les versions plus anciennes, utilisez yum) :

sudo dnf install mod_ssl

L’installation du paquet crée également le fichier de configuration SSL par défaut à /etc/httpd/conf.d/ssl.conf, qui est l’endroit où vous ajouterez vos directives de certificat.

Étape 2 : Téléverser vos fichiers de certificat sur le serveur

Copiez vos fichiers vers les emplacements standard des certificats Red Hat. Les certificats se placent dans /etc/pki/tls/certs/ et la clé privée dans /etc/pki/tls/private/ :

sudo cp yourdomain.crt /etc/pki/tls/certs/
sudo cp yourdomain.ca-bundle /etc/pki/tls/certs/
sudo cp yourdomain.key /etc/pki/tls/private/

Verrouillez la clé privée pour que seul le compte root puisse la lire :

sudo chmod 600 /etc/pki/tls/private/yourdomain.key

Sur Apache 2.4.8 et versions ultérieures, ce qui couvre toutes les versions RHEL prises en charge, combinez votre certificat et le bundle CA en un seul fichier de chaîne complète (le certificat feuille en premier, les intermédiaires après). Ce seul fichier suffit pour la directive SSLCertificateFile :

cat yourdomain.crt yourdomain.ca-bundle > yourdomain_fullchain.crt
sudo cp yourdomain_fullchain.crt /etc/pki/tls/certs/

Étape 3 : Configurer le VirtualHost HTTPS

Ouvrez le fichier de configuration SSL avec un éditeur de texte :

sudo nano /etc/httpd/conf.d/ssl.conf

Dans le bloc VirtualHost du port 443, mettez en place une configuration complète et moderne comme celle ci-dessous. Ajustez les chemins et le domaine selon vos fichiers :

<VirtualHost *:443>
    ServerName  www.yourdomain.com
    DocumentRoot /var/www/html

    SSLEngine on

    # Apache 2.4.8+ : certificat + bundle CA dans un seul fichier de chaîne complète
    SSLCertificateFile    /etc/pki/tls/certs/yourdomain_fullchain.crt
    SSLCertificateKeyFile /etc/pki/tls/private/yourdomain.key

    # Renforcement TLS recommandé (2026)
    SSLProtocol         -all +TLSv1.2 +TLSv1.3
    SSLHonorCipherOrder off

    # Activez le HSTS uniquement après avoir confirmé que HTTPS fonctionne
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</VirtualHost>

• SSLCertificateFile : votre fichier de chaîne complète (certificat suivi des intermédiaires). Sur Apache 2.4.8+, cette seule directive remplace l’ancienne SSLCertificateChainFile, désormais obsolète.
• SSLCertificateKeyFile : la clé privée que vous avez créée avec la CSR.

Apache ancien (antérieur à 2.4.8) : si vous êtes bloqué sur un serveur très ancien, gardez le certificat et la chaîne séparés, pointez SSLCertificateFile vers yourdomain.crt, et ajoutez SSLCertificateChainFile /etc/pki/tls/certs/yourdomain.ca-bundle, en pointant vers le bundle CA, et non vers votre propre certificat.

Étape 4 : Rediriger HTTP vers HTTPS

Pour que les visiteurs accèdent toujours à la version sécurisée de votre site, ajoutez un VirtualHost sur le port 80 (dans la configuration principale de votre site, par exemple /etc/httpd/conf.d/yourdomain.conf) qui redirige vers HTTPS :

<VirtualHost *:80>
    ServerName www.yourdomain.com
    ServerAlias yourdomain.com
    Redirect permanent / https://www.yourdomain.com/
</VirtualHost>

Étape 5 : Tester la configuration

Testez toujours la syntaxe avant de recharger ; une faute de frappe dans la configuration peut empêcher Apache de démarrer :

sudo apachectl configtest

Vous devriez voir Syntax OK. Si vous obtenez une erreur, revoyez les étapes précédentes avant de continuer.

Étape 6 : Recharger Apache

Appliquez les modifications en rechargeant le service httpd. Un rechargement active la nouvelle configuration sans interrompre les connexions existantes :

sudo systemctl reload httpd
sudo systemctl start httpd
sudo systemctl enable httpd

Une dernière chose : assurez-vous que le pare-feu autorise le trafic HTTPS sur le port 443 :

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Félicitations. Votre certificat SSL est désormais installé sur votre serveur Apache Red Hat Linux.

Pour confirmer que tout fonctionne et obtenir un rapport de statut instantané, passez votre domaine dans notre SSL Checker. Les analyses détectent toute erreur de chaîne ou de configuration susceptible d’affecter la confiance des navigateurs envers votre certificat.