Comment installer un certificat SSL dans Tomcat

Dans ce tutoriel, vous apprendrez comment installer un certificat SSL sur Apache Tomcat en utilisant l’utilitaire Java keytool, puis à configurer le connecteur HTTPS dans server.xml. Si vous n’avez pas encore généré votre CSR, la première section vous montre comment faire.

Nous avons également enregistré une vidéo qui vous guide à travers tout le processus. Vous pouvez regarder la vidéo, lire les instructions, ou faire les deux. Vous pouvez regarder la vidéo ci-dessous.

Générer un code CSR pour Tomcat

CSR signifie Certificate Signing Request (demande de signature de certificat), un bloc de texte contenant les détails actuels sur votre domaine et votre organisation. Chaque acheteur d’un certificat SSL commercial doit soumettre un CSR à l’autorité de certification (le fournisseur SSL) pour passer la validation et recevoir le certificat. Si le CSR contient des détails incorrects, la CA ne le signera pas.

Sur Tomcat, le CSR est créé avec keytool à partir d’un keystore Java, et ce même keystore contient la clé privée que vous réutiliserez lors de l’installation. Vous avez deux options :

• Utilisez notre générateur de CSR pour créer le CSR automatiquement.
• Suivez notre tutoriel étape par étape sur comment générer un CSR sur Tomcat.

Important : conservez une trace du fichier keystore et de l’alias que vous avez utilisés lors de la génération du CSR. Vous importerez plus tard votre certificat signé dans exactement cet alias, car c’est là que se trouve la clé privée correspondante.

Une fois que l’autorité de certification a validé votre demande et vous a envoyé les fichiers SSL, poursuivez avec l’installation ci-dessous.

Installer un certificat SSL dans Tomcat

Une installation sur Tomcat comporte deux étapes : d’abord vous importez la chaîne de certificats et votre certificat signé dans le keystore qui contient déjà votre clé privée, puis vous configurez le connecteur HTTPS dans server.xml pour qu’il utilise ce keystore.

Étape 1 : Préparez vos fichiers de certificat SSL

Votre autorité de certification envoie les fichiers par e-mail à l’adresse que vous avez fournie, généralement sous forme d’archive ZIP. Extrayez-la. Selon la CA, les fichiers arrivent sous l’un des deux formats suivants :

• PKCS#7 : un seul fichier .p7b (ou .cer) qui regroupe déjà votre certificat avec les certificats racine et intermédiaire.
• PEM : des fichiers séparés, généralement un fichier .crt pour votre certificat serveur, ainsi que des fichiers individuels root.crt et intermediate.crt.

Téléchargez les fichiers extraits sur le serveur, dans le même répertoire que le keystore à partir duquel vous avez généré votre CSR (appelé ci-dessous example.jks). Identifiez votre format et suivez les instructions correspondantes.

Étape 2 : Importez le certificat dans votre keystore

Format PKCS#7. Comme un fichier .p7b contient déjà la chaîne complète, une seule commande importe tout en une fois, dans votre alias de clé privée existant :

keytool -import -trustcacerts -alias ssldragon -keystore example.jks -file example.p7b

Remplacez ssldragon par votre propre alias et example par les noms de vos fichiers. L’alias doit être celui qui contient déjà votre clé privée (l’alias de l’étape du CSR). Lorsque vous voyez le message Certificate reply was installed in keystore, l’importation a réussi. Vérifiez le contenu du keystore avec :

keytool -list -v -keystore example.jks

Recherchez une entrée dont le type est PrivateKeyEntry avec une chaîne de certificats de longueur supérieure à 1. Cela confirme que le certificat signé est désormais associé à votre clé privée.

Format PEM. Importez les certificats séparément, dans l’ordre de la chaîne : d’abord la racine, puis les éventuels intermédiaires, et enfin votre certificat de domaine. L’importation de la chaîne en premier permet à keytool de construire un chemin de confiance complet avant d’attacher la réponse à votre clé. Importez le certificat racine :

keytool -import -trustcacerts -alias root -keystore example.jks -file root.crt

Puis importez le certificat intermédiaire :

keytool -import -trustcacerts -alias intermediate -keystore example.jks -file intermediate.crt

Si votre CA fournit plusieurs certificats intermédiaires, importez chacun sous son propre alias de confiance, en respectant l’ordre dans lequel ils se signent mutuellement (de la racine jusqu’à votre certificat de domaine). Par exemple, un certificat Sectigo PositiveSSL est livré avec plus d’un intermédiaire, importez-les donc dans l’ordre avant le certificat de domaine.

Enfin, importez votre certificat principal (celui émis pour votre domaine) dans l’alias de clé privée existant, le même alias que celui utilisé lors de la génération du CSR :

keytool -import -trustcacerts -alias ssldragon -keystore example.jks -file example.crt

Ici, ssldragon doit être votre alias de clé privée existant. Comme cet alias possède déjà une clé, keytool traite cette importation comme une réponse de certificat et associe le certificat signé à la clé. C’est cette étape qui fait fonctionner le HTTPS.

Piège critique : n’importez pas le certificat signé sous un alias tout nouveau. Si l’alias n’a pas de clé privée existante, keytool stocke le certificat comme une entrée de confiance autonome sans clé associée, et TLS échouera. Si vous n’êtes pas sûr de savoir quel alias contient votre clé, exécutez keytool -list -v -keystore example.jks et utilisez l’alias dont le type est PrivateKeyEntry.

Étape 3 : Configurez le connecteur HTTPS dans server.xml

Une fois le certificat dans votre keystore, faites pointer le connecteur HTTPS de Tomcat vers celui-ci. Le connecteur est défini dans server.xml, situé dans le dossier conf de votre installation Tomcat (par exemple $CATALINA_HOME/conf/server.xml). Ouvrez le fichier dans un éditeur de texte.

Sur les versions actuelles de Tomcat (9, 10 et 11), la forme recommandée imbrique un élément SSLHostConfig, qui contient à son tour un élément Certificate qui référence votre keystore. Ajoutez ou mettez à jour le connecteur sécurisé pour qu’il ressemble à ceci :

<Connector
    port="443"
    protocol="org.apache.coyote.http11.Http11NioProtocol"
    maxThreads="150"
    SSLEnabled="true"
    scheme="https"
    secure="true">
  <SSLHostConfig>
    <Certificate
        certificateKeystoreFile="/your_path/example.jks"
        certificateKeystorePassword="your_keystore_password"
        certificateKeystoreType="JKS"
        certificateKeyAlias="ssldragon"
        type="RSA" />
  </SSLHostConfig>
</Connector>

• certificateKeystoreFile : le chemin complet vers votre fichier keystore.
• certificateKeystorePassword : le mot de passe du keystore.
• certificateKeystoreType : JKS pour un keystore .jks, ou PKCS12 pour un keystore .p12 / .pfx.
• certificateKeyAlias : l’alias qui contient votre clé privée et votre certificat signé (ici, ssldragon). Cela indique à Tomcat quelle entrée servir lorsque le keystore en contient plusieurs.

Remarque : le port 443 est le port HTTPS standard utilisé ci-dessus ; les exemples propres à Tomcat utilisent par défaut le port 8443, alors utilisez celui que votre environnement attend. S’il s’agit de votre première configuration HTTPS, le connecteur sécurisé peut être commenté dans server.xml. Retirez les marqueurs de commentaire environnants pour que le connecteur soit actif, et assurez-vous qu’aucun autre connecteur n’est déjà lié au même port.

Forme héritée (anciennes versions de Tomcat). Les anciens guides placent les détails du keystore directement sur le connecteur sous forme d’attributs keystoreFile et keystorePass. Ce style est remplacé par les éléments SSLHostConfig et Certificate présentés ci-dessus, qui constituent la forme à utiliser sur les versions de Tomcat prises en charge.

Étape 4 : Enregistrez server.xml et redémarrez Tomcat

Enregistrez server.xml, puis redémarrez Tomcat pour qu’il recharge la configuration. Sous Linux, utilisez les scripts fournis :

$CATALINA_HOME/bin/shutdown.sh
$CATALINA_HOME/bin/startup.sh

Si Tomcat s’exécute comme un service, redémarrez-le plutôt via votre gestionnaire de services (par exemple systemctl restart tomcat sous Linux, ou le panneau Services sous Windows). Félicitations, votre certificat SSL est désormais installé sur votre serveur Tomcat.

Testez votre installation SSL Tomcat

Après avoir installé le certificat, de petites erreurs peuvent passer inaperçues et affecter la façon dont les navigateurs traitent votre site. Prenez l’habitude de vérifier l’installation. Utilisez notre SSL Checker pour une analyse instantanée qui révèle des problèmes tels qu’un certificat intermédiaire manquant ou une chaîne non fiable.

Questions fréquemment posées