{"id":3361,"date":"2020-05-14T14:14:00","date_gmt":"2020-05-14T12:14:00","guid":{"rendered":"https:\/\/blog.alwaysdata.com\/?p=3361"},"modified":"2020-05-14T11:31:32","modified_gmt":"2020-05-14T09:31:32","slug":"api-lets-encrypt-v2-un-cert-pour-les-securiser-tous","status":"publish","type":"post","link":"https:\/\/blog.alwaysdata.com\/fr\/2020\/05\/14\/api-lets-encrypt-v2-un-cert-pour-les-securiser-tous\/","title":{"rendered":"API Let\u2019s Encrypt v2 : Un CERT pour les s\u00e9curiser tous"},"content":{"rendered":"

Le Web est un espace important \u00e0 prot\u00e9ger : une grande partie du temps que nous passons en ligne implique le partage d\u2019informations personnelles. Nous ne pouvons pas laisser toutes ces donn\u00e9es exister sur l\u2019internet sans les s\u00e9curiser, au risque de les exposer \u00e0 des attaques. La vie priv\u00e9e est l\u2019une des choses les plus pr\u00e9cieuses que nous poss\u00e9dons tous<\/a>.<\/p>\n

\n

S\u00e9curiser le Web pour tous : une histoire de vie priv\u00e9e<\/h2>\n

Il y a quatre ans, la s\u00e9curisation des connexions entre un client et un serveur \u00e9tait r\u00e9serv\u00e9e \u00e0 qui savait la mettre en place : il fallait g\u00e9n\u00e9rer un CSR 1)<\/sup><\/a><\/span><\/span> pour votre service, le soumettre \u00e0 une autorit\u00e9, l\u2019installer sur votre serveur\u2026 et payer chaque ann\u00e9e pour le renouveler (\u00e0 un co\u00fbt parfois \u00e9lev\u00e9 !). Ainsi, la s\u00e9curisation du Web n\u2019\u00e9tait pas ouverte \u00e0 tous.<\/p>\n

Cette situation n\u2019\u00e9tait confortable pour personne : les \u00e9diteurs de sites Web voulaient un meilleur moyen de prot\u00e9ger les transferts de donn\u00e9es de leurs utilisateurs, et les utilisateurs avaient besoin d\u2019une meilleure protection de leur vie priv\u00e9e.<\/p>\n

C\u2019est pourquoi l\u2019Internet Security Research Group<\/a><\/em> a lanc\u00e9 une initiative r\u00e9volutionnaire : offrir des certificats \u00e9mis par une autorit\u00e9 CERT \u00e0 but non lucratif, lui permettant de d\u00e9livrer ces certificats gratuitement. La s\u00e9curisation d\u2019une majeure partie de l\u2019internet sans surco\u00fbt devenait possible !<\/p>\n

En tant que fournisseur PaaS<\/em> \/ Cloud<\/em>, nous avons \u00e9t\u00e9 l\u2019un des premiers \u00e0 int\u00e9grer cette API d\u2019enregistrements de certificats<\/a> \u00e0 notre plateforme, ce qui nous a permis de g\u00e9n\u00e9rer gratuitement un certificat SSL \/ TLS pour chacun de vos (sous-)domaines.<\/p>\n

v2 : Quand les choses deviennent s\u00e9rieuses<\/h2>\n

Un grand pouvoir implique de grandes responsabilit\u00e9s. Pour \u00e9viter des attaques graves et limiter le risque de devenir un SPOF<\/em> 2)<\/sup><\/a><\/span><\/span>, Let\u2019s Encrypt<\/em><\/a> a rapidement mis des limites \u00e0 son API et \u00e0 l\u2019utilisation de ses certificats.<\/p>\n

Jusqu\u2019\u00e0 la sortie de la version 2, vous deviez \u00e9mettre un certificat pour chaque sous-domaine dont vous aviez explicitement besoin. Parce que nous sommes une plateforme h\u00e9bergeant de nombreux sites, nous soumettons une \u00e9norme<\/em> quantit\u00e9 de requ\u00eates de certificats \u00e0 l\u2019API de Let\u2019s Encrypt<\/em> quotidiennement. Jusqu\u2019ici, nous avons pu travailler avec LE<\/em> et ses limites pour fournir vos certificats de fa\u00e7on transparente. Gr\u00e2ce \u00e0 cette nouvelle API, nous sommes maintenant autoris\u00e9s \u00e0 demander \u00e9galement des certificats wildcard<\/strong> ! Cela signifie que nous pouvons d\u00e9sormais ne d\u00e9livrer qu\u2019un<\/em> certificat pour s\u00e9curiser tous les sous-domaines d\u2019un domaine.<\/p>\n

Voici comment nous avons choisi de le faire fonctionner chez alwaysdata :<\/p>\n

    \n
  1. Chaque fois que vous ajoutez un nouveau sous-domaine en ajoutant un site \/ service derri\u00e8re une nouvelle URL, nous g\u00e9n\u00e9rons gratuitement un certificat LE<\/em> pour ce sous-domaine,<\/li>\n
  2. \u00c0 partir du 20e<\/sup> 3)<\/sup><\/a><\/span><\/span> site ajout\u00e9, nous basculons automatiquement vers un certificat wildcard<\/em> qui couvrira le 20e<\/sup> site et tous les sites suivants (les 19 premiers utilisent toujours les leurs),<\/li>\n
  3. Vous pouvez \u00e9mettre un certificat wildcard<\/em> \u00e0 tout moment, depuis votre panneau d\u2019administration dans la section Avanc\u00e9 > Certificats SSL<\/em>, en ajoutant un certificat SSL<\/a> et en demandant un certificat wildcard LE<\/em>.<\/li>\n<\/ol>\n

    Tous ces certificats (g\u00e9n\u00e9r\u00e9s automatiquement ou manuellement) sont g\u00e9r\u00e9s par notre plateforme et renouvel\u00e9s automatiquement sur l\u2019API Let\u2019s Encrypt<\/em>, nul besoin de vous en pr\u00e9occuper.<\/p>\n

    \n

    D\u00e9passer les limites !<\/h2>\n

    Malgr\u00e9 la magie du service Let\u2019s Encrypt<\/em>, il y a toujours des limites :<\/p>\n