31Aug
Les développeurs et les administrateurs informatiques ont, sans aucun doute, besoin de déployer un site web via HTTPS en utilisant un certificat SSL.Bien que ce processus soit assez simple pour un site de production, vous pouvez également avoir besoin d'un certificat SSL pour le développement et les tests.
En tant qu'alternative à l'achat et au renouvellement d'un certificat annuel, vous pouvez tirer parti de la capacité de votre Windows Server à générer un certificat auto-signé, pratique, facile et qui répond parfaitement à ces types de besoins.
Création d'un certificat auto-signé sur IIS
Bien qu'il existe plusieurs façons d'accomplir la tâche de création d'un certificat auto-signé, nous utiliserons l'utilitaire SelfSSL de Microsoft. Malheureusement, cela n'est pas fourni avec IIS, mais il est disponible gratuitement dans le cadre du IIS 6.0 Resource Toolkit( lien fourni au bas de cet article).Malgré le nom "IIS 6.0" cet utilitaire fonctionne très bien dans IIS 7.
Tout ce qui est requis est d'extraire le IIS6RT pour obtenir l'utilitaire selfssl.exe. De là, vous pouvez le copier dans votre répertoire Windows ou un chemin réseau / clé USB pour une utilisation ultérieure sur une autre machine( vous n'avez donc pas besoin de télécharger et d'extraire l'IIS6RT complet).
Une fois que l'utilitaire SelfSSL est en place, exécutez la commande suivante( en tant qu'administrateur) en remplaçant les valeurs dans & lt; & gt;selon le cas:
selfssl /N:CN=<your.domain.com>/ V: & lt; nombre de jours valides & gt;
L'exemple ci-dessous produit un certificat générique autosigné contre "mydomain.com" et le définit comme valide pour 9 999 jours. En outre, en répondant oui à l'invite, ce certificat est automatiquement configuré pour se lier au port 443 dans le site Web par défaut d'IIS.
Alors que le certificat est prêt à l'emploi, il est uniquement stocké dans le magasin de certificats personnel sur le serveur. Il est recommandé d'avoir également ce certificat dans la racine approuvée.
Allez dans Démarrer & gt;Exécutez( ou touche Windows + R) et entrez "mmc".Vous pouvez recevoir une invite UAC, l'accepter et une console de gestion vide s'ouvrira.
Dans la console, allez dans Fichier & gt;Ajouter / Supprimer un composant logiciel enfichable
Ajouter des certificats du côté gauche.
Sélectionnez un compte d'ordinateur.
Sélectionnez Ordinateur local.
Cliquez sur OK pour afficher le magasin de certificats local.
Accédez à Personal & gt;Certificats et recherchez le certificat que vous configurez à l'aide de l'utilitaire SelfSSL.Cliquez avec le bouton droit sur le certificat et sélectionnez Copier.
Accédez aux autorités de certification racine de confiance & gt;CertificatsCliquez avec le bouton droit sur le dossier Certificats et sélectionnez Coller.
Une entrée pour le certificat SSL doit apparaître dans la liste.
À ce stade, votre serveur ne devrait avoir aucun problème à travailler avec le certificat auto-signé.
Exportation du certificat
Si vous allez accéder à un site qui utilise le certificat SSL auto-signé sur un ordinateur client( c'est-à-dire un ordinateur qui n'est pas le serveur), afin d'éviter une attaque potentielle d'erreurs et d'avertissements de certificat.certificat signé doit être installé sur chacune des machines client( dont nous discuterons en détail ci-dessous).Pour ce faire, nous devons d'abord exporter le certificat correspondant afin qu'il puisse être installé sur les clients.
À l'intérieur de la console avec la gestion des certificats chargée, accédez à Autorités de certification racines de confiance & gt;CertificatsRecherchez le certificat, cliquez avec le bouton droit et sélectionnez Toutes les tâches & gt;Exportation.
Lorsque vous êtes invité à exporter la clé privée, sélectionnez Oui. Cliquez sur Suivant.
Laissez les sélections par défaut pour le format de fichier et cliquez sur Suivant.
Entrez un mot de passe. Cela sera utilisé pour protéger le certificat et les utilisateurs ne pourront pas l'importer localement sans entrer ce mot de passe.
Entrez un emplacement pour exporter le fichier de certificat. Ce sera au format PFX.
Confirmez vos paramètres et cliquez sur Terminer.
Le fichier PFX résultant est ce qui sera installé sur vos machines clientes pour leur indiquer que votre certificat autosigné provient d'une source fiable.
Déploiement sur les machines clientes
Une fois que vous avez créé le certificat côté serveur et que tout fonctionne, vous pouvez remarquer que lorsqu'un ordinateur client se connecte à l'URL correspondante, un avertissement de certificat s'affiche. Cela se produit car l'autorité de certification( votre serveur) n'est pas une source fiable pour les certificats SSL sur le client.
Vous pouvez cliquer sur les avertissements et accéder au site, mais vous pouvez recevoir des notifications répétées sous la forme d'une barre d'URL en surbrillance ou de la répétition d'avertissements de certificat. Pour éviter ce problème, vous devez simplement installer le certificat de sécurité SSL personnalisé sur l'ordinateur client.
Selon le navigateur que vous utilisez, ce processus peut varier. IE et Chrome lisent tous deux à partir du magasin de certificats Windows, mais Firefox a une méthode personnalisée de gestion des certificats de sécurité.
Remarque importante: ne doit jamais installer un certificat de sécurité d'une source inconnue. En pratique, vous ne devez installer un certificat que localement si vous l'avez généré.Aucun site Web légitime ne vous obligerait à effectuer ces étapes.
Internet Explorer &Google Chrome - Installation du certificat localement
Remarque: Même si Firefox n'utilise pas le magasin de certificats Windows natif, cette étape est toujours recommandée.
Copiez le certificat exporté du serveur( le fichier PFX) sur l'ordinateur client ou assurez-vous qu'il est disponible dans un chemin réseau.
Ouvrez la gestion du magasin de certificats local sur la machine client en suivant exactement les mêmes étapes que ci-dessus. Vous finirez par finir sur un écran comme celui ci-dessous.
Sur le côté gauche, développez Certificats & gt;Autorités de certification racine de confiance. Cliquez avec le bouton droit sur le dossier Certificats et sélectionnez Toutes les tâches & gt;Importer.
Sélectionnez le certificat qui a été copié localement sur votre machine.
Entrez le mot de passe de sécurité attribué lors de l'exportation du certificat depuis le serveur.
Le magasin "Autorités de certification racine de confiance" doit être pré-rempli comme destination. Cliquez sur Suivant.
Vérifiez les paramètres et cliquez sur Terminer.
Vous devriez voir un message de réussite.
Actualisez votre vue des autorités de certification racines de confiance & gt;Dossier Certificats et vous devriez voir le certificat auto-signé du serveur listé dans le magasin.
Une fois cela fait, vous devriez être capable de naviguer vers un site HTTPS qui utilise ces certificats et ne reçoit aucun avertissement ni aucune invite.
Firefox - Autoriser les exceptions
Firefox gère ce processus un peu différemment car il ne lit pas les informations de certificat du magasin Windows. Plutôt que d'installer des certificats( en soi), il vous permet de définir des exceptions pour les certificats SSL sur des sites particuliers.
Lorsque vous visitez un site qui a une erreur de certificat, vous recevrez un avertissement comme celui ci-dessous. La zone en bleu nommera l'URL respective à laquelle vous essayez d'accéder. Pour créer une exception afin de contourner cet avertissement sur l'URL respective, cliquez sur le bouton Ajouter une exception.
Dans la boîte de dialogue Ajouter une exception de sécurité, cliquez sur l'option Confirm Security Exception pour configurer localement cette exception.
Notez que si un site particulier redirige vers des sous-domaines à partir de lui-même, vous pouvez recevoir plusieurs invites d'avertissement de sécurité( l'URL étant légèrement différente à chaque fois).Ajoutez des exceptions pour ces URL en utilisant les mêmes étapes que ci-dessus.
Conclusion
Il vaut la peine de répéter l'avis ci-dessus que vous devriez jamais installer un certificat de sécurité d'une source inconnue. En pratique, vous ne devez installer un certificat que localement si vous l'avez généré.Aucun site Web légitime ne vous obligerait à effectuer ces étapes.
Liens
Télécharger IIS 6.0 Resource Toolkit( inclut l'utilitaire SelfSSL) de Microsoft