Ceci est une ancienne révision du document !
Let's Encrypt
Installation de l'agent certbot
apt install certbot
Sur de vieux système ou des systèmes ne proposant pas de paquet pour certbot (voir méthodes de déploiement officielles ici), vous pouvez utiliser la version auto :
wget -O /usr/local/sbin/certbot-auto https://dl.eff.org/certbot-auto chmod 755 /usr/local/sbin/certbot-auto
Il s'agit d'une version qui gère sa auto-mise à jour automatique à chaque exécution.
Pour les systèmes incompatibles, il est également possible d'utiliser l'agent acme.sh.
Pré-configuration d'Apache
- Créer le dossier qui servira aux challenge ACME :
mkdir -p /var/www/well-known/public_html/.well-known/acme-challenge/
- Mettre en place un fichier index.html témoins :
echo "No site here" > /var/www/well-known/public_html/.well-known/acme-challenge/index.html
- Mettre en place un alias dans la configuration Apache pour ce dossier :
echo "Alias /.well-known/acme-challenge/ /var/www/well-known/public_html/.well-known/acme-challenge/" > /etc/apache2/conf-available/well-known.conf a2enconf well-known
- Dans le VirtualHost HTTP du site sur lequel, si une redirection HTTP vers HTTPS est place, il faut l'adapter pour laisser passer les requêtes des challenges ACME, par exemple :
RewriteEngine on RewriteCond %{REQUEST_URI} !(^/\.well-known/.*$) RewriteRule ^(.*)$ https://%{SERVER_NAME}$1 [R=301]
Si ce n'est pas fait, penser à activer le module rewrite pour que cela fonctionne :
a2enmod rewrite service apache2 force-reload
- Recharger la configuration d'Apache :
service apache2 reload
Test avant d'aller plus loin
Appelez l'URL du genre http://[fqdn]/.well-known/acme-challenge/index.html : Ça devrait retourner No site here.
Génération initial du certificat
Générez le certificat à l'aide de la commande suivante :
certbot certonly --non-interactive --agree-tos --webroot --webroot-path /var/www/well-known/public_html --email dns@example.com -d ${FQDN} -d ${AUTRE_FQDN} -d ${AUTRE_FQDN_SI_BESOIN} --renew-hook "/usr/sbin/service apache2 restart"
Le nom du certificat est normalement le premier FQDN listé, mais au besoin il peut être spécifié explicitement à l'aide du paramètre
--cert-name.