Il y a quelques semaines, Let's Encrypt annonçait qu'ils sortaient de la phase de beta, l'occasion pour moi de revenir sur le sujet et de vous proposer un petit dossier sur SSL et Let's Encrypt.

Mais ? C'est quoi un certificat SSL ? J'en ai besoin ?  

Ne vous inquiétez pas, je vais aborder tous ces points un par un !

Sommaire :

# Qu'est ce que SSL ?

SSL (Secure Socket Layer) est un système qui permet l'échange d'information de manière sécurisée. De ce fait, il devient impossible d'espionner des échanges d'information ou de les modifier en cours de route. Une fois le certificat SSL installé, vos pages auront la possibilité d'utiliser le protocole HTTPS qui garanti que les échanges avec le client seront cryptés (Seul le client et le serveur peuvent comprendre ce qu'ils s'échangent).

Comment parvient-il à faire cela ?

Sans trop entrer dans les détails, l'expéditeur, avant d'envoyer ses paquets, les chiffre et y appose une signature cryptée. Seul, le client et le serveur peuvent décrypter les messages via des clés qu'ils auront créés et échangés au préalable. (Si vous désirez plus d'informations sur comment se déroule les protocoles SSL vous pouvez jeter un oeil à la RFC qui décrit son fonctionnement). Ainsi, seuls le client et le serveur peuvent comprendre les messages qu'ils échangent.

# Pourquoi installer un certificat SSL ?

Et bien pour plusieurs raisons, la première, la plus importante et la plus évidente, pour plus de sécurité. Utiliser SSL permet de crypter les messages échangés avec le serveur. Cela n'empêche évidemment personne d'écouter les échanges entre les clients et serveur mais ça empêche de les comprendre ! Inutile de vous préciser que cela devient une obligation quand on traite avec des données sensibles (Comptes banquaires, transactions, code pour lancement de missiles nucléaires ...)

Mais... je n'en ai pas besoin moi. Je n'ai qu'un petit blog où je parle de ma vie.

Hmm, certes, mais il y a d'autres avantages à avoir un site en HTTPS. Google, par exemple, a annoncé cet été qu'elle donnerait un petit "boost de rang" aux sites en HTTPS (rassurez vous, ce n'est rien de conséquant mais c'est déjà ça !). De plus passer en HTTPS vous permettra d'obtenir un chouette cadenas vert (Sur Chrome/Mozilla du moins), indiquant que la connexion à votre site est sécurisée.

# Qu'est ce que Let's Encrypt ?

Maintenant que l'on a défini ce que sont les avantages d'SSL j'imagine que vous vous demandez : Comment obtenir un certificat SSL ?
La réponse est simple : il faut faire appel à une autorité de certification. Une autorité de certification est un organisme tiers qui fournit des certificats (enfin qui les signe plutôt) et qui possède les moyens de vérifier la validité de ceux-ci. En gros le rôle d'un tel organisme est de vérifier l'identité du demandeur puis de fournir le certificat et ceci à un prix : comptez un minimum de 100 €. Évidemment, ces certificats ont une durée de vie et il faudra penser à renouveler ces certificats avant leur péremption.

Hein ? Je pense que je vais m'en passer finalement.

Vous vous en allez déjà ? On arrive au point le plus intéressant : Let's Encrypt ! Let's Ecrypt est une initiative de la Linux Foundation, soutenue par de gros nom dans le domaine (CISCO, Mozilla pour ne citer qu'eux.) Il s'agit d'une autorité de certification qui a pour grand avantage d'être 100% automatisée. Cela signifie deux grandes choses : vous n'aurez plus besoin de passer par un tiers et (étant donné que le projet est Open Source) vous n'avez absolument rien à payer !

# Comment installer un certificat SSL avec Let's Encrypt ? (sur apache)

Vous allez devoir d'abord, avoir un accès à votre serveur. Une fois que vous y êtes, il suffit de cloner le repository git dans un répertoire et executer le tout.

git clone https://github.com/letsencrypt/letsencrypt
cd letsencrypt
./letsencrypt-auto --apache -d monsite.com

Si vous avez besoin d'un même certificat pour plusieurs domaines, il suffit d'énumérer les différents domaines.

./letsencrypt-auto --apache -d monste.com -d www.monsite.com -d blog.monsite.com

Vous serez alors invités à entrer diverses informations concernant le certificats et pour costumiser vos options.
Félicitations ! Vous êtes maintenant l'heureux propriétaire d'un certificat SSL. Votre certificat sera valable pendant 90 jours, pour le renouveler il suffit d'executer :

./letsencrypt-auto renew

Et voilà à vous l'SSL / HTTPS !

Sources :

Site officiel de Let's Encrypt : https://letsencrypt.org/
Google starts giving a ranking booost to secure HTTPS/SSL sites : http://searchengineland.com/../httpsssl-sites-199446

Partager