Comment installer un certificat SSL sur SurgeMail

Ce tutoriel vous montre comment installer un certificat SSL sur SurgeMail, le serveur de messagerie Netwin qui gère SMTP, IMAP, POP3 et le webmail au sein d’un seul démon. Vous allez coller le certificat émis et sa chaîne intermédiaire dans l’interface d’administration web de SurgeMail, redémarrer le service, puis vérifier que chaque port sécurisé (submission, SMTPS, IMAPS, POP3S et webmail HTTPS) présente le nouveau certificat.

Les étapes ci-dessous s’appliquent aux versions actuelles de SurgeMail 8.x sous Windows, Linux et macOS. La disposition de l’interface d’administration web est restée stable sur de nombreuses versions, donc les installations 7.x plus anciennes suivent le même déroulement.

Générer une CSR sur SurgeMail

Si vous avez déjà généré votre CSR et reçu les fichiers SSL de votre autorité de certification, passez la partie 1 et allez directement aux étapes d’installation.

Une CSR (Certificate Signing Request) est un bloc de texte encodé qui contient vos coordonnées et la clé publique associée à la clé privée conservée sur le serveur. L’autorité de certification (CA) utilise la CSR pour vérifier vos informations avant d’émettre le certificat. Vous avez deux options :

• Utilisez notre générateur de CSR pour créer la CSR automatiquement. Si vous choisissez cette voie, la clé privée est générée en dehors de SurgeMail, vous devrez donc importer le certificat en même temps que la clé lors de l’installation.
• Générez la CSR directement dans SurgeMail en suivant notre tutoriel sur comment générer une CSR sur SurgeMail. La clé privée reste sur le serveur, et le certificat signé s’y intègre juste à côté.

Lorsque vous passez la commande SSL, copiez l’intégralité du texte de la CSR, y compris les lignes BEGIN CERTIFICATE REQUEST et END CERTIFICATE REQUEST, et collez-le dans le formulaire de commande. Générer la CSR directement dans SurgeMail est la voie la plus simple car la clé privée se trouve déjà sur le serveur, prête à être associée au certificat signé renvoyé par la CA.

Installer un certificat SSL sur SurgeMail

Une fois que la CA a validé votre demande et émis le certificat, vous recevez généralement une archive ZIP par e-mail. Extrayez-la sur votre ordinateur ; vous devriez obtenir votre certificat principal (serveur) et un ou plusieurs certificats intermédiaires (CA). SurgeMail attend ces fichiers au format PEM, le format texte brut par défaut fourni par la plupart des CA (le fichier commence par —–BEGIN CERTIFICATE—–). Si vos fichiers sont arrivés en .crt, .cer, ou .pem, ouvrez-les dans un éditeur de texte brut (Notepad sous Windows, ou nano ou vi sous Linux et macOS) pour confirmer la présence des en-têtes PEM.

Étape 1 : Ouvrez la page SSL Certificates dans l’interface d’administration web

Connectez-vous à l’interface d’administration web de SurgeMail dans votre navigateur. Par défaut, l’interface d’administration sécurisée se trouve sur le port 7025 (par exemple https://mail.example.com:7025) ; le port d’administration non chiffré est 7026. Une fois connecté, ouvrez Globals > SSL Certificates Configure. Cette page répertorie tous les certificats connus de SurgeMail et permet d’importer un certificat signé, d’en remplacer un existant, ou de définir un certificat par domaine.

Étape 2 : Collez le certificat et la chaîne intermédiaire

Ouvrez l’entrée correspondant au domaine pour lequel vous avez généré la CSR, puis repérez le champ de texte SSL Certificate(s). Collez d’abord le texte du certificat émis, avec le ou les certificats intermédiaires directement en dessous, sans ligne vide entre eux. Le bloc combiné devrait ressembler à ceci :

-----BEGIN CERTIFICATE-----
(Your primary / server certificate)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(Your intermediate certificate)
-----END CERTIFICATE-----

Chaque marqueur BEGIN CERTIFICATE et END CERTIFICATE utilise exactement cinq tirets de chaque côté, sans espace. Une ligne de marqueur altérée (tirets courbes, tirets manquants, ou espaces parasites) est la cause la plus fréquente d’échec d’importation SSL sur SurgeMail. Si votre CA a fourni plusieurs intermédiaires, collez-les dans l’ordre indiqué par la documentation de la CA, chaque bloc immédiatement en dessous du précédent.

Si la CSR a été générée en dehors de SurgeMail (par exemple avec notre générateur de CSR), cette même page accepte également la clé privée correspondante. Collez-la dans le champ de la clé privée du formulaire afin que SurgeMail puisse l’associer au certificat. Si vous avez généré la CSR dans SurgeMail, la clé privée se trouve déjà sur le serveur et vous n’avez qu’à coller la chaîne de certificats.

Cliquez sur Save en bas de la page. En coulisses, SurgeMail écrit la chaîne de certificats dans ssl/surge_cert.pem et la clé privée dans ssl/surge_priv.pem à l’intérieur de son répertoire d’installation.

Étape 3 : Redémarrez SurgeMail

SurgeMail charge le certificat au démarrage, le nouveau certificat n’est donc servi qu’après un redémarrage. Utilisez la méthode correspondant à votre plateforme :

• Interface d’administration web : ouvrez Status > Restart Server (ou utilisez le bouton Restart équivalent sur le tableau de bord).
• Windows : redémarrez le service SurgeMail depuis services.msc.
• Linux : en tant que root, exécutez tellmail shutdown et laissez le superviseur de service redémarrer SurgeMail, ou utilisez l’unité init/systemd enregistrée par votre installateur (généralement systemctl restart surgemail).
• macOS : utilisez les commandes Stop et Start dans SurgeMail Manager, ou redémarrez la tâche launchd enregistrée par votre installateur.

Un redémarrage est également requis après chaque renouvellement ou réémission, même si le domaine n’a pas changé.

Facultatif : renforcer les paramètres SSL

Pendant que vous êtes dans l’interface d’administration web, profitez-en pour appliquer une base de sécurité actuelle. SurgeMail propose un préréglage sur une seule ligne qui active des suites de chiffrement modernes et désactive les versions de protocole obsolètes :

g_ssl_perfect "true"

Sur les installations plus anciennes, vous pouvez également désactiver explicitement les versions obsolètes de SSL et les premières versions de TLS :

g_ssl_disable "sslv2,sslv3,tlsv1,tlsv1_1"

Ces directives se trouvent avec les autres paramètres globaux (configurez-les via Globals > SSL dans l’interface d’administration web, ou modifiez directement surgemail.ini). Enregistrez les modifications et redémarrez SurgeMail pour qu’elles prennent effet sur tous les services activés en TLS.

Facultatif : automatiser les renouvellements avec Let’s Encrypt

Si vous préférez ne pas gérer manuellement les renouvellements par copier-coller et redémarrage, SurgeMail intègre la prise en charge de Let’s Encrypt à partir de la version 7.3j2. Ajoutez ce qui suit à vos paramètres globaux, assurez-vous que le port 80 est directement accessible par SurgeMail (et non par Apache ou IIS) afin que le challenge HTTP-01 puisse aboutir, puis exécutez la commande de mise à jour :

g_ssl_per_domain "true"
g_ssl_auto "true"
g_webmail_port "80,7080"

tellmail ssl_update

Ce mode convient mieux aux déploiements entièrement nouveaux. Si vous avez acheté un certificat commercial (validation étendue, couverture pluriannuelle, ou wildcard), restez avec le flux manuel de copier-coller décrit ci-dessus.

Testez votre installation SSL

Une fois SurgeMail redémarré, contrôlez chaque service censé servir le certificat. Comme SurgeMail gère plusieurs protocoles depuis un seul démon, un seul port mal configuré peut casser des clients sans affecter le webmail (ou inversement). Testez :

• Webmail HTTPS sur le port 7443 (ou 443 si vous avez placé SurgeMail derrière un reverse proxy).
• Submission SMTP sur le port 587 (STARTTLS) et SMTPS sur le port 465.
• IMAPS sur le port 993 et IMAP STARTTLS sur le port 143.
• POP3S sur le port 995 et POP3 STARTTLS sur le port 110.

Utilisez notre SSL Checker pour vérifier le certificat et la chaîne intermédiaire complète sur le port webmail. Pour les ports des protocoles de messagerie, utilisez un outil en ligne de commande compatible TLS depuis le serveur (par exemple openssl s_client -connect mail.example.com:993 pour IMAPS, ou openssl s_client -starttls smtp -connect mail.example.com:587 pour la submission SMTP). Le certificat, la chaîne de l’émetteur et la date d’expiration renvoyés doivent correspondre au certificat que vous venez d’installer.

Si un client affiche un avertissement concernant le certificat après l’installation, la cause est presque toujours un intermédiaire manquant. Vérifiez à nouveau que la chaîne dans le champ SSL Certificate(s) inclut le certificat intermédiaire de la CA, enregistrez de nouveau, et redémarrez SurgeMail.

Questions fréquemment posées