Commander un certificat SSL est une chose, l'installer correctement en est une autre. Ce guide suit le parcours complet, de la commande à la redirection HTTPS, pour un hébergement cPanel comme pour un serveur que vous administrez vous-même.
Commander le bon certificat
Choisissez d'abord la couverture (un nom, plusieurs noms ou wildcard) et le niveau de validation. Sur un hébergement cPanel, un certificat Let's Encrypt est déjà délivré automatiquement : vous n'avez rien à générer pour l'activer. Pour un certificat payant, la commande se fait depuis la page produit ; l'étape de configuration demande la demande de certificat (CSR) et le nom exact à protéger.
Le nom doit correspondre à un nom d'hôte complet : example.com et www.example.com sont deux noms distincts, sauf si le certificat les couvre tous les deux. Pour un wildcard, la demande porte sur *.example.com, qui couvre tous les sous-domaines d'un niveau mais pas l'apex.
Générer la demande de certificat (CSR)
La CSR contient le nom à protéger et votre clé publique ; elle ne contient pas la clé privée. Générez-la sur le serveur qui hébergera le site :
openssl req -new -newkey rsa:2048 -nodes \ -keyout /root/example.key -out /root/example.csr cat /root/example.csr
Collez le contenu de example.csr dans le formulaire de commande, sans les lignes d'en-tête. Conservez example.key sur le serveur et ne le transmettez à personne : seul le CSR est destiné à l'autorité de certification. En cas de renouvellement ou de réinstallation, une nouvelle CSR est généralement nécessaire.
Valider le domaine
- Validation DV : par e-mail à une adresse normalisée du domaine, par un enregistrement DNS fourni par l'autorité, ou par un fichier déposé sur le site.
- Validation OV : vérification de l'existence légale de l'organisation, avec justificatifs si nécessaire.
- Validation EV : vérification renforcée, incluant l'organisation et le contrôle du demandeur.
Répondez précisément aux demandes de l'autorité : une validation incomplète est la première cause de blocage d'une commande. Le délai va de quelques minutes pour une DV à quelques jours pour une EV.
Installer le certificat
Sur cPanel, ouvrez la gestion SSL, puis l'option d'installation du certificat : collez le certificat, la chaîne intermédiaire fournie par l'autorité et la clé privée, puis installez. Sur un serveur nginx, déclarez les fichiers dans le bloc du site :
ssl_certificate /etc/ssl/example.crt; ssl_certificate_key /etc/ssl/example.key;
La chaîne intermédiaire doit être incluse dans le fichier du certificat, sinon certains clients voient une chaîne incomplète. Après modification, testez la configuration et rechargez le service, jamais l'inverse.
Forcer la redirection HTTPS
Une fois le certificat actif, redirigez le trafic HTTP vers HTTPS. Sur cPanel, activez l'option de redirection forcée du domaine. Sur un serveur, ajoutez une règle dans le fichier de configuration du site :
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Vérifiez ensuite qu'aucune ressource du site n'est chargée en HTTP, sinon le navigateur signale un contenu mixte malgré le cadenas.
Contrôler le résultat
- Le cadenas apparaît et le certificat affiche le bon nom.
- La date d'expiration et l'émetteur correspondent à la commande.
- La version HTTPS du site charge les images, scripts et feuilles de style.
- Le certificat est identique sur le domaine et sur le www, si les deux sont utilisés.
