Ce guide explique les principales différences entre un certificat EV et DV.

Certificats SSL EV : pour les sociétés

Le certificat SSL EV de Sectigo peut uniquement être délivré aux entreprises enregistrées dans un registre officiel.

Il assure le plus haut niveau de confiance auprès de vos clients et offre des avantages uniques en plus d'inclure les bénéfices d'un certificat DV :

• nom de votre société dans la barre de navigation
• cadenas dans la barre de navigation
• sceau de site sécurisé dynamique
• validation de votre nom de domaine
• authentification manuelle des coordonnées et de l'identité de votre société
• garantie allant jusqu'à $1'750'000 pour les utilisateurs finaux
• support 7/7

L'activation d'un certificat SSL EV peut prendre jusqu'à 24h et nécessitera des actions de votre part.

Certificats SSL DV : pour sociétés et particuliers

Le certificat DV de Sectigo est ouvert aux particuliers et aux sociétés. Il ne comprend pas certains avantages évoqués ci-dessus, mais il offre des bénéfices supplémentaires par rapport aux certificats SSL gratuits de Let's Encrypt :

• sceau de site sécurisé dynamique
• validation de votre nom de domaine
• garantie allant jusqu'à $10'000 pour les utilisateurs finaux
• support 7/7

L'activation d'un certificat SSL DV est immédiate.

Et les certificats Let's Encrypt ?

Un certificat gratuit de Let's Encrypt garantit le même niveau de chiffrement qu'un certificat EV ou DV. En revanche, les certificats de Let's Encrypt n'offrent pas les bénéfices suivants:

• validation manuelle des coordonnées et de l'authenticité de votre société (EV)
• garantie pour les utilisateurs finaux en cas de fraude (EV/DV)
• support en cas de questions

En résumé, les certificats de Let's Encrypt assurent le chiffrement des échanges entre vos utilisateurs et votre site, mais ils ne garantissent pas aux internautes qu'ils se trouvent sur un site légitime dont l'identité a été authentifiée par une autorité de certification.

Ce guide suggère des solutions pour résoudre les problèmes courants et erreurs fréquentes qui peuvent survenir lorsque vous tentez d'afficher votre site Web en https après avoir activé un certificat SSL.

Le navigateur Web affiche automatiquement la version http du site lorsque vous tentez d'y accéder en https

Il est recommandé d'effectuer les actions suivantes:

• Videz le cache de vos applications ou de votre site.
• Vérifiez que les pages et les scripts du site ne contiennent pas de redirections sur la version http du site.
• Vérifiez que le fichier .htaccess du site ne contienne pas de redirections sur la version http du site.
• Définissez l’adresse https du site comme celle par défaut:
  • avec WordPress Infomaniak
  • pour les autres cas

Le site Web s'affiche mal (images manquantes, feuilles de style non prises en charge, etc.) ou affiche un avertissement dans la barre d'adresse

Il est recommandé d'effectuer les actions suivantes:

• Videz le cache de vos applications ou de votre site.
• Vérifiez que les pages et les scripts ne pointent pas sur des ressources externes en http ; le site whynopadlock.com peut vous aider à identifier les éléments non sécurisés de votre site.
• Prenez également connaissance de cet autre guide à ce sujet.

"Cette page Web présente une boucle de redirection", "ERR_TOO_MANY_REDIRECTS"

Si votre navigateur Web affiche cette erreur, il est recommandé d'effectuer les actions suivantes :

• Si le site fonctionne avec une application Web comme WordPress ou Joomla, désactivez les extensions une par une pour identifier celle qui pose problème.
• Vérifiez que les pages et les scripts du site ne contiennent pas de redirections sur la version http du site.
• Essayez de désactiver HSTS.
• Si Prestashop est utilisé, il faut activer le SSL sur toutes les pages:
  1. Ajoutez votre domaine SSL :
     • Allez dans Préférences > SEO & URLs.
     • Dans la section "URL de la boutique", entrez l'adresse de votre site dans le champ "Domaine SSL" (sans le https://, juste www.domain.xyz).
  2. Activez le SSL :
     • Allez dans Préférences > Paramètres généraux.
     • En haut de la page, cliquez sur "Cliquez ici pour utiliser le protocole HTTPS avant d'activer le mode SSL."
     • Une nouvelle page s'ouvrira avec votre site en version sécurisée HTTPS.
  3. Forcez l'utilisation du SSL sur tout le site :
     • Revenez dans Préférences > Paramètres généraux.
     • Mettez l'option "Activer le SSL" sur OUI.
     • Mettez également "Forcer l'utilisation de SSL pour toutes les pages" sur OUI.

Un ancien certificat SSL s'affiche - vider le cache SSL

Les navigateurs Web mettent en cache les certificats SSL pour accélérer la navigation. Normalement, ce n'est pas un problème. Cependant, lorsque vous développez des pages pour votre site web ou que vous installez un nouveau certificat, l'état SSL du navigateur peut vous gêner. Par exemple vous pourriez ne pas voir l'icône du cadenas dans la barre d'adresse du navigateur après avoir installé un nouveau certificat SSL.

La première chose à faire dans ce cas c'est de s'assurer que le domaine pointe bien sur l'adresse IP du serveur (enregistrements A et AAAA) et si c'est toujours le mauvais certificat SSL qui est retourné, videz le cache SSL:

• Chrome: se rendre dans les Paramètres et cliquer sur Paramètres. Cliquez sur Afficher les paramètres avancés. Sous Réseau, cliquez sur Modifier les paramètres du proxy. La boîte de dialogue Propriétés Internet s'affiche. Cliquez sur l'onglet Contenu. Cliquez sur Effacer l'état SSL, puis cliquez sur OK. Prenez connaissance d'autres pistes dans cet autre guide.
• Firefox: se rendre dans Historique. Cliquez sur Effacer l'historique récent puis sélectionnez Connexions actives et cliquez sur Effacer maintenant.

Perte de mise en forme CSS

Si le site Web s'affiche sans style CSS, analysez le chargement des pages avec la Console du navigateur. Des erreurs de contenu mixte (mixed content) en rapport avec vos styles .css, s'y trouvent peut-être, qu'il faudra résoudre pour qu'ils soient à nouveau chargés correctement.

Cloudflare

Si vous utilisez Cloudflare, prenez connaissance de cet autre guide à ce sujet.

Merci d'avoir choisi Infomaniak pour sécuriser vos sites avec un certificat SSL EV ou DV de Sectigo.

Principaux guides SSL

• Commander un certificat SSL EV de Sectigo
• Comprendre la différence entre certificat EV et DV
• Utiliser un certificat Sectigo sur site externe (autre hébergeur)
• Comprendre la garantie Sectigo des Certificats SSL
• Résoudre un problème lié à SSL/https
• Installer un certificat SSL gratuit Let's Encrypt sur un site
• Installer un certificat SSL "wildcard" gratuit
• Désinstaller un certificat SSL
• Mettre à jour un certificat SSL Let's Encrypt (par exemple après avoir ajouté/supprimé des alias)

Aide supplémentaire

• Prenez connaissance de toutes les FAQ sur le SSL
• Contacter le support Infomaniak

Ce guide permet de comprendre l'erreur "Votre Connexion n’est pas privée" lorsque vous tentez d'accéder à un site Web, que vous soyez propriétaire de ce site ou simple visiteur.

Comprendre l'erreur

L'erreur "Votre Connexion n’est pas privée" apparaît parfois dans votre navigateur lorsque celui-ci éprouve des difficultés à établir une connexion sécurisée avec le site que vous souhaitez visiter. Cela se produit généralement lorsque le site Web ne dispose pas d'un certificat de sécurité valide et n'utilise pas le protocole SSL/TLS pour protéger la communication entre le site et votre navigateur Web.

En fait, il s'agit d'une mesure de sécurité visant à protéger vos données. Les sites Web avec des certificats SSL invalides peuvent présenter des problèmes de sécurité, ce qui les rend moins fiables. Ils peuvent également exposer vos informations personnelles aux pirates informatiques si vous saisissez des données sensibles, telles que vos identifiants de connexion ou vos informations de paiement.

Si vous êtes visiteur

Cela peut être dû à des erreurs de configuration, telles qu'une connexion Wi-Fi peu sécurisée, une mauvaise date et heure sur votre ordinateur, ou même une analyse SSL/HTTPS par votre logiciel antivirus.

Si vous possédez un site Web Infomaniak

Avez-vous installé un certificat SSL ?

Prenez connaissance des différents certificats disponibles sur le site Infomaniak.

Et si vous possédez déjà un certificat SSL pour votre site, l'avez-vous mis à jour pour intégrer d'éventuels alias du site Web ?

Vérifier la date d'expiration du certificat SSL

Les certificats sont renouvelés automatiquement. Pour vérifier la date d'expiration:

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Consultez la colonne contenant les dates d'expiration:
   

Vérifier l'installation

Si vous pensez avoir pourtant activé SSL sur votre site, vérifiez les quelques points de cet autre guide.

Ce guide explique comment installer un certificat SSL gratuit de Let's Encrypt sur un site Web hébergé par Infomaniak.

Préambule

• Une fois le certificat installé, votre site Web sera accessible en http et https …
  • Si nécessaire redirigez automatiquement tous vos visiteurs sur le site https sécurisé.
• Si vous souhaitez inclure un nom de domaine alias récemment ajouté à votre site qui possédait déjà un certificat, il faut le mettre à jour.
• Pour de multiples sous-domaines, prenez connaissance de cet autre guide.
• Let's Encrypt limite l'installation de certificats à:
  • 100 sous-domaines
  • 20 certificats pour 7 jours par domaine enregistré
  • 5 demandes infructueuses par compte par nom d'hôte par heure

Installer un certificat SSL gratuit sur un site

Prérequis

• Pour que l'installation soit possible, les DNS du nom de domaine doivent être correctement configurés pour pointer sur le site en question.
• Si un changement vient d'être effectué à ce niveau, certaines opérations ne seront peut-être pas fonctionnelles de suite.

Afin d'accéder aux sites Web pour y installer un certificat SSL :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné:
   
3. Cliquez sur Configurer sous Certificat SSL:
   
4. Cliquez sur le bouton Installer un certificat:
   
5. Choisissez le certificat gratuit.
6. Cliquez sur le bouton Suivant:
   
7. Vérifiez ou sélectionnez les domaines concernés.
8. Cliquez sur le bouton Installer:
   
9. Patientez jusqu'à l'obtention du certificat sur le site.

Ce guide explique comment renouveler un certificat wildcard via challenge DNS en utilisant Certbot.

Préambule

• Veillez à protégez les fichiers de configuration et les scripts contenant des informations sensibles comme les token API.
• Testez le processus de renouvellement manuel et automatique pour s'assurer que tout fonctionne correctement avant la date d'expiration du certificat existant.

Générer le certificat wildcard

Prérequis

1. Cliquez ici afin d'accéder à la gestion API sur le Manager Infomaniak (besoin d'aide ?).
2. Créez un token d'API Infomaniak avec le scope "domain".
3. Notez ce token pour une utilisation ultérieure.

Depuis une application de type Terminal (interface en ligne de commande, CLI /Command Line Interface) sur votre appareil, par exemple cmd sur Windows ou Terminal (installé par défaut sur macOS), exécutez la commande Certbot avec les paramètres suivants:

certbot certonly --manual -d *.domain.tld --preferred-challenges dns-01 --server https://acme-v02.api.letsencrypt.org/directory

Créer l'enregistrement TXT

Créez l'enregistrement TXT pour _acme_challengez.domain.tld manuellement depuis l'interface Infomaniak.

Configurer le renouvellement automatique

Créer le fichier de configuration de renouvellement

Créez ou éditez le fichier /etc/letsencrypt/renewal/domain.tld.conf avec les informations suivantes :

	[...]	
	[renewalparams]	
	account = xxxxx	
	pref_challs = dns-01,	
	server = https://acme-v02.api.letsencrypt.org/directory	
	authenticator = manual	
	manual_auth_hook = /root/infomaniak-auth.sh	
	key_type = rsa

Créer le script infomaniak-auth.sh 

Créez le fichier /root/infomaniak-auth.sh avec le contenu suivant :

	#!/bin/bash	
	INFOMANIAK_API_TOKEN=XXXXXXX	
	certbot certonly \	
	--authenticator dns-infomaniak \	
	--server https://acme-v02.api.letsencrypt.org/directory \	
	--agree-tos \	
	--rsa-key-size 4096 \	
	-d $CERTBOT_DOMAINdsqqds

Remplacez XXXXXXX par votre API Token Infomaniak.

Renouvellement automatique

Planifiez l'exécution régulière de certbot renew via une tâche cron pour prendre en compte le fichier de configuration et renouveler automatiquement votre certificat à intervalles réguliers.

0 0 */x * * /usr/bin/certbot renew --quiet --config /etc/letsencrypt/renewal/domain.tld.conf

Remplacez /x par la fréquence de renouvellement souhaitée, par exemple tous les 30 jours.

Ce guide explique comment…

1. … générer une CSR et clé privée pour faire la demande d'un certificat tiers auprès d'une autorité de certification (CA),
2. … importer ce certificat pour votre site Infomaniak, grâce au CRT obtenu auprès de la CA.

Préambule

• Bien qu'Infomaniak propose tous les certificats SSL dont vous pourriez avoir besoin…
  • certifs gratuits Let's Encrypt pour les sites personnels (uniquement possible avec les sites hébergés chez Infomaniak),
  • certifs DV de Sectigo pour les sites professionnels/particuliers qui ne sont pas inscrits au registre du commerce,
  • certifs EV de Sectigo pour les entreprises inscrites au registre du commerce,
• … il est également possible d'installer un certificat SSL obtenu ailleurs (certificat intermédiaire/intermediate d'un organisme de certification de votre choix), certificats personnalisés ou auto-signés.

1. Générer une CSR (Certificate Signing Request)

Une CSR (Certificate Signing Request ou Demande de Signature de Certificat) est un fichier encodé contenant des informations nécessaires pour demander un certificat SSL/TLS.

Elle doit être générée de votre côté, afin de garantir que la clé privée reste sous votre contrôle, en utilisant par exemple OpenSSL.

Adaptez et exécutez la commande suivante depuis une application de type Terminal (interface en ligne de commande, CLI /Command Line Interface) sur votre appareil:

openssl req -utf8 -nodes -sha256 -newkey rsa:2048 -keyout domain.xyz.key -out domain.xyz.csr -addext "subjectAltName = DNS:domain.xyz, DNS:www.domain.xyz"

Explications

• newkey rsa:2048: Génère une nouvelle clé RSA de 2048 bits.
• keyout domain.xyz.key: Spécifie le fichier où sera sauvegardée la clé privée.
• out domain.xyz.csr: Spécifie le fichier où sera enregistrée la CSR.
• addext “subjectAltName = ...”: Ajoute des domaines supplémentaires via l'extension SAN (Subject Alternative Name), nécessaire pour inclure tous les domaines souhaités dans le certificat (le domaine principal domain.xyz + tout autre domaine ou sous-domaine associé, comme www.domain.xyz).

Après génération, vous pouvez vérifier le contenu de la CSR avec la commande suivante :

openssl req -in domain.xyz.csr -noout -text

Cela permet de vérifier que tous les domaines listés dans subjectAltName sont correctement inclus.

Une fois la CSR générée, vous pouvez la transmettre à l'autorité de certification (CA) pour obtenir votre certificat SSL/TLS.

2. Importer le certificat externe

Une fois validée, la CA vous délivre un certificat (domain.xyz.crt) et parfois un certificat intermédiaire (ca_bundle.crt). Pour accéder à la gestion des certificats SSL :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur Certificats SSL dans le menu latéral gauche.
4. Cliquez sur le bouton bleu Installer un certificat:
   
5. Choisissez le certificat personnalisé.
6. Cliquez sur le bouton Suivant:
   
7. Importez votre certificat et clé privée, soit par importation des fichiers .crt et .key soit par copier-coller.
8. Cliquez sur Compléter:
   

Commande alternative pour générer un certificat auto-signé (facultatif)

Si vous souhaitez un certificat local uniquement pour des tests ou sans passer par une CA (non recommandé pour la production), vous pouvez utiliser cette commande :

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout domain.xyz.key -out domain.xyz.crt -addext “subjectAltName = DNS:domain.xyz, DNS:www.domain.xyz”

Cela génère à la fois un certificat auto-signé (domain.xyz.crt) et une clé privée (domain.xyz.key). Cependant les certificats auto-signés ne sont pas reconnus comme valides par les navigateurs ou systèmes publics. Ils ne conviennent qu'à des environnements internes ou de développement.

Importer un certificat intermédiaire

Lors de l'ajout d'un certificat SSL personnalisé, il est possible d'importer le certificat intermédiaire (par importation du fichier .crt ou copier-coller des données fournies par l'organisme de certification):

Ce guide détaille les conditions et procédure pour obtenir un certificat SSL EV de Sectigo avec Infomaniak.

Préambule

• Les certificats SSL à validation étendue (EV) peuvent uniquement être accordés aux organisations, entreprises et sociétés légalement enregistrée auprès d'une autorité gouvernementale reconnue (comme un registre du commerce).
  • Les certificats DV de Sectigo et Let's Encrypt ne sont pas soumis à cette contrainte.
  • Comparez les certificats SSL disponibles
• En cas de problème de validation de certificat DV ou EV, prenez connaissance de cet autre guide.

Procédure de validation des certificats EV

L'obtention d'un certificat SSL EV peut prendre jusqu'à 24 heures et nécessite des informations valides de la part du client.

Cette procédure est répétée tous les 12 mois, quelle que soit la durée de l'abonnement choisie pour le certificat EV.

1. Vérification des coordonnées de l’entreprise

Les données qui seront ajoutées au certificat doivent dans un premier temps être vérifiées auprès d'une source indépendante :

• le nom légal ou commercial
• la forme juridique
• l'adresse
• le code postal
• la région / le canton / le département
• le pays / le code du pays

Attention :

• Le nom de l'entreprise doit correspondre exactement à celui inscrit au registre ou la chambre de commerce ; la commande peut uniquement être traitée si le nom donné est enregistré et correctement noté.
• Seul le nom légal enregistré ou le nom la marque suivi du nom légal entre parenthèses est autorisé [exemple : Nom commercial (Nom légal)] ; pour les entités sans nom légal, tous les noms commerciaux peuvent être utilisés.
• Il est interdit d'utiliser une adresse postale.

Au vu de ce qui précède, une nouvelle demande avec des données correctes dans le CSR est parfois nécessaire, et Infomaniak peut également avoir besoin de votre approbation pour apporter des modifications aux informations fournies lors de la commande.

2. Vérification des données dans l'annuaire WHOIS

L’annuaire WHOIS affiche les informations du propriétaire d'un nom de domaine. Ces données doivent correspondre aux informations fournies lors de la commande du certificat SSL EV.

Pour mettre à jour les informations d'un domaine dans le WHOIS :

• Si votre domaine est géré chez Infomaniak, prenez connaissance de cet autre guide.
• Si votre domaine n'est pas géré chez Infomaniak, contactez votre hébergeur/registrar.

3. Contrat & validation pour le certificat EV

Après avoir commandé un certificat EV, la personne de contact de l'entreprise désignée à la commande recevra un e-mail de la part de l'autorité de certification Sectigo avec les documents suivants :

• le formulaire de demande du certificat
• le contrat du certificat

Ces documents sont préremplis et la personne de contact doit les valider en ligne à l'aide d'un code supplémentaire. Celui-ci sera fourni par un robot téléphonique de Sectigo (le numéro d'appel proviendra des Pays-Bas, +31 88 775 77 77 en principe) oralement à votre numéro enregistré auprès du registre ou de la chambre du commerce. 

Chaque demande de certificat est validée par téléphone, y compris les renouvellements et les réémissions de certificats multi-domaines.

4. Vérification du domaine (uniquement pour les sites externes)

Cette étape vérifie que vous avez le contrôle du domaine (si celui-ci est externe à Infomaniak) pour lequel le certificat est demandé. Les domaines des sites hébergés chez Infomaniak sont validés automatiquement.

Chaque (sous-)domaine doit être approuvé individuellement via l'une des méthodes décrites dans cet autre guide.

Ce guide détaille les conditions et procédure pour utiliser un certificat Sectigo Infomaniak sur un site hébergé ailleurs, auprès d'un hébergeur tiers.

Préambule

• Vous avez la possibilité de bénéficier des tarifs avantageux d'Infomaniak pour vos certificats SSL tout en gérant vos sites chez un autre hébergeur.

Installer un certificat Sectigo

Du fait des différents prestataires, l'installation de votre certificat ne sera pas automatique:

1. Obtenir le CSR

Exportez le fichier de configuration CSR depuis votre hébergeur et le saisir à la commande de votre certificat chez Infomaniak.

2. Confirmer la propriété du domaine

Validez les domaines inclus dans le certificat via l'une des méthodes suivantes:

• Saisie d'un code de validation reçu à l'une des adresses mail suivantes (l'adresse mail complète doit exister sur le domaine à valider, ici “domain.xyz” par exemple):
  • admin@domain.xyz
  • administrator@domain.xyz
  • hostmaster@domain.xyz
  • postmaster@domain.xyz
  • webmaster@domain.xyz
• Création d'un enregistrement CNAME unique dans les DNS du domaine.
• Fichier txt de validation à charger via FTP sur votre site.

Ce guide détaille les règles de validité des certificats SSL EV et DV (entrées en vigueur le 1er septembre 2020).

Durée de validité des certificats SSL

À l'issue d'une réunion du CA/B Forum qui réunit les grands acteurs du Web (Safari, Google Chrome, Mozilla Firefox, etc. - en savoir plus), la décision a été prise de fixer la durée de validité maximale des certificats SSL à 397 jours. Ce changement vise notamment à limiter le risque de piratage des certificats et à augmenter le niveau de sécurité des certificats. Il n’est pas exclu que la durée de validité maximale d’un certificat soit encore raccourcie ces prochaines années. Certains acteurs comme Apple, Google ou même Sectigo poussent dans ce sens.

Certificats SSL DV de Sectigo

Les certificats SSL DV de Sectigo dont la durée dépasse 1 an sont renouvelés automatiquement par Infomaniak (certificat re-délivré durant le mois précédent sa date de péremption).

Il est nécessaire de réinstaller le certificat sur votre site si ce dernier n'est pas géré par Infomaniak.

Certificats SSL EV de Sectigo

Les certificats SSL EV de Sectigo devront être validés chaque année, quelle que soit la durée de l'abonnement choisie.

Il est nécessaire de réinstaller le certificat sur votre site si ce dernier n'est pas géré par Infomaniak.

Ce guide explique comment générer une demande de certificat (CSR) pour un nom de domaine et tous ses sous-domaines avec un Hébergement Web. Cela permet de chiffrer la connexion à votre nom de domaine et tous ses sous-domaines par SSL.

Mettre en place un certificat Wildcard

1. Ajouter un domaine alias avec astérisque *

Afin d'ajouter un alias de type * à votre site Web:

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné:
   
3. Cliquez ensuite sur le chevron ‍ pour développer la partie Domaines de ce site.
4. Cliquez sur le bouton Ajouter un domaine:
   
5. Saisissez le nom de domaine à ajouter sous cette forme:
   • *.domain.xyz (l'astérisque est indispensable, suivie d'un point, puis du nom de domaine du site Web qui est dans cet exemple domain.xyz)
6. Cliquez sur le bouton Confirmer pour terminer la procédure:
   

2. Installer un certificat SSL ou le mettre à jour

Exemple de mise à jour du certificat existant afin d'inclure le sous-domaine * wildcard:

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur SSL dans le menu latéral gauche.
4. Cliquez sur le menu d'action ⋮ situé à droite.
5. Cliquez sur Changer le certificat:
   
6. Sélectionnez le même certificat que vous possédez déjà.
7. Cliquez sur le bouton Suivant:
   
8. Veillez à ce que le sous-domaine récemment ajouté soit bien sélectionné.
9. Cliquez sur le bouton Installer en bas:
   
10. Patientez le temps de la création ou de la mise à jour.

Ce guide explique comment ajouter ou modifier un ou plusieurs enregistrements de type CAA dans la zone DNS (d'un nom de domaine) gérée sur le Manager Infomaniak.

Préambule

• Un enregistrement CAA permet de spécifier une autorité de certification autorisée à délivrer des certificats pour un domaine.

Ajouter un CAA

Prenez connaissance de ce guide afin de gérer ce type d'enregistrement dans une zone DNS.

Ajout de CAA pour valider un certificat SSL…

… Sectigo

Dans le cas d'une validation de certificat SSL Sectigo, suivez le guide générique ci-dessus mais entrez spécifiquement les données suivantes:

• Choisissez “Issue pour autorité de certification”.
• Entrez le drapeau/flag: 0.
• Spécifiez sectigo.com:

… Let's Encrypt

Dans le cas d'une validation de certificat SSL Let's Encrypt, suivez le guide générique ci-dessus mais entrez spécifiquement les données suivantes:

• Choisissez “Issue pour autorité de certification”.
• Entrez le drapeau/flag: 0.
• Spécifiez letsencrypt.org:

La garantie fournie avec un certificat SSL EV ou DV protège vos utilisateurs contre tous les imprévus liés à une éventuelle erreur de validation de la part de Sectigo, l'organisme de certification qui délivre les certificats SSL et valide vos données personnelles.

La garantie est donc exigible si l'autorité de certification ne valide pas correctement les informations contenues dans le certificat numérique et que cette défaillance fait perdre de l'argent à l'utilisateur final dans le cadre d'une transaction frauduleuse par carte de crédit.

Ce guide explique comment désinstaller un Certificat SSL quel que soit son type, initialement installé depuis le Manager Infomaniak. Si votre certificat est de type payant et que vous souhaitez plutôt résilier l'offre en cours, prenez connaissance de cet autre guide.

Supprimer un certificat SSL

Pour désinstaller un certificat Infomaniak :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné:
   
3. Cliquez sur le menu d'action ⋮ situé à droite de l'élément concerné.
4. Cliquez sur Désinstaller:
   
5. Confirmez la désinstallation du certificat.

Ce guide explique comment ajouter un sceau de confiance dynamique sur un site sécurisé avec un certificat SSL de Sectigo.

Préambule

• Infomaniak, en tant qu’hébergeur, propose des certificats SSL pour sécuriser les sites Web de ses clients
• Sectigo (anciennement connu sous le nom de Comodo) est un fournisseur de certificats SSL reconnu qui offre différents niveaux de sécurité
• Le "sceau de confiance dynamique", ou "Sectigo Trust Seal" / "Sectigo Trust Logo" est un visuel que les propriétaires de sites Web peuvent afficher sur leurs pages pour indiquer aux visiteurs que leur connexion est sécurisée, un signe de confiance qui informe les utilisateurs que les transactions et les échanges d'informations effectués sur le site sont cryptés et protégés par un certificat SSL émis par Sectigo.
• En utilisant un certificat SSL de Sectigo et en affichant le sceau de confiance dynamique, un site Web chez Infomaniak bénéficie donc non seulement d'une sécurisation des échanges de données, mais aussi d'une augmentation de la confiance des utilisateurs, essentielle dans le commerce électronique et pour la protection des informations personnelles.

Ajouter un sceau de confiance

Voici comment fonctionne un sceau de confiance dynamique :

1. Validation : pour obtenir un tel sceau, le propriétaire du site doit d'abord obtenir un certificat SSL valide auprès de Sectigo, ce qui nécessite un processus de validation; selon le niveau de certificat choisi (Domain Validation - DV, Organization Validation - OV ou Extended Validation - EV), cette validation peut être plus ou moins approfondie
2. Installation : une fois le certificat SSL obtenu et installé sur le serveur web d'Infomaniak, le site Web est alors capable d'établir des connexions sécurisées en HTTPS
3. Affichage du sceau : Sectigo fournit un code HTML ou un script que le propriétaire du site peut ensuite intégrer à son site Web ; ce code permet d'afficher le sceau de confiance dynamique de Sectigo
4. Mise à jour : le sceau est souvent mis à jour en temps réel pour refléter le statut actuel du certificat SSL ; si le certificat venait à expirer ou à être révoqué, le sceau le refléterait également, avertissant ainsi les visiteurs potentiels que le site pourrait ne plus être sécurisé
    

Le sceau de confiance se compose d'une image et d'un code HTML. Ce dernier fonctionne uniquement si un certificat Sectigo est installé sur le site et génère dans ce cas un logo interactif qui affiche les données du certificat.

Enregistrer l'une des images ci-dessous

Cliquez avec le bouton droit de la souris sur l'image à enregistrer puis cliquez sur Enregistrer l'image sous...

• Petit
• Moyen
• Grand

Téléverser l'image sur votre site

Envoyez l'image sur votre serveur Web (via FTP ou votre CMS) et notez l'URL d'accès vers cette image pour la prochaine étape (par exemple https://domain.xyz/wp-content/uploads/sectigo.png).

Obtenir le code à intégrer dans vos pages

Entrez l'adresse complète de votre image sur la page https://www.trustlogo.com/install/index2.html afin de vérifier si l'image est bien joignable.

Cliquez sur le bouton Continuer sur la même page pour obtenir les 2 codes à copier-coller dans l'en-tête de votre (ou vos) page(s) Web:

Important:

• Dans le code, CL1 correspond à un certificat SSL DV ; remplacez CL1 par SC5‍ pour un certificat SSL de type EV.

Ce guide explique comment exporter un certificat SSL depuis le Manager Infomaniak.

Préambule

• Le téléchargement du certificat produit un fichier au format .zip.
• L'archive contient les fichiers .key et .crt.
• Il est recommandé de stocker ce certificat et sa clé privée dans un lieu sécurisé, car cette dernière pourrait permettre d’accéder à vos données chiffrées:
  

Exporter un certificat SSL 

Pour accéder à la gestion de vos certificats :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur le menu d'action ⋮ à droite de l'objet concerné dans le tableau qui s'affiche.
4. Choisissez Exporter le certificat et suivez les instructions pour télécharger l'archive:
   

Ce guide explique comment interpréter correctement les informations détaillées fournies par Qualys SSL Labs (https://www.ssllabs.com/ssltest/) qui peuvent parfois sembler techniques ou alarmantes sans contexte approprié.

Préambule

• Qualys SSL Labs est un outil d'analyse largement utilisé pour évaluer la configuration SSL/TLS des sites Web.
• Les avertissements dans leurs rapports ne sont souvent que des détails techniques sans impact sur la sécurité ou le SEO du site.

Certificats multiples dans les rapports SSL Labs

Lorsque SSL Labs analyse un site, il peut afficher plusieurs certificats numérotés (certificat #1, certificat #2, etc.). Cela se produit pour plusieurs raisons:

1. Certificat principal (#1): Le certificat présenté lorsque le SNI (Server Name Indication) est utilisé.
   • Le SNI est une extension TLS qui permet à un serveur d'héberger plusieurs certificats SSL pour différents domaines sur une même adresse IP. Quand un navigateur se connecte, il indique le nom de domaine qu'il souhaite joindre.
2. Certificat secondaire (#2): Le certificat présenté lorsque le SNI n'est pas utilisé ou lors d'une connexion directe par IP.

Une indication "No SNI" dans le certificat #2 n'est pas une erreur. Elle signifie simplement que SSL Labs a testé ce qui se passe lorsqu'un client se connecte sans fournir d'information SNI. Dans ce cas:

• Le serveur sert un certificat de secours (souvent un certificat générique ou de prévisualisation).
• Cette situation concerne uniquement des clients très obsolètes qui ne supportent pas le SNI.
• Les navigateurs modernes utilisent tous le SNI et recevront donc le certificat #1.

Problèmes de chaîne de certificats

"Chain issues: Incorrect order, Extra certs, Contains anchor"

Ces avertissements ne signifient pas nécessairement que le certificat est défectueux:

• Incorrect order: Les certificats intermédiaires ne sont pas présentés dans l'ordre optimal.
• Extra certs: Des certificats supplémentaires non nécessaires sont inclus.
• Contains anchor: Le certificat racine est inclus dans la chaîne.

Le protocole TLS permet d'omettre le certificat racine car il est normalement déjà présent dans les magasins de certificats des navigateurs. L'inclure n'est pas une erreur, mais une redondance.

“Alternative names mismatch”

Pour le certificat de secours (#2), l'avertissement "MISMATCH" est normal car:

• Ce certificat est conçu pour un autre domaine (preview.infomaniak.website).
• Il est présenté uniquement lorsque le SNI n'est pas utilisé.
• Le navigateur recevant ce certificat l'identifierait comme ne correspondant pas au domaine demandé, mais cela n'affecte pas les connexions normales avec SNI.

Concernant des inquiétudes SEO:

• Google et les autres moteurs de recherche utilisent des navigateurs modernes supportant le SNI.
• Ils reçoivent le certificat #1 qui est valide pour votre domaine.
• Les avertissements concernant le certificat #2 n'ont pas d'impact sur le référencement.
• Seuls des problèmes avec le certificat principal (#1) pourraient affecter le SEO.

Cette configuration est parfaitement adaptée pour un hébergement mutualisé où plusieurs sites partagent la même infrastructure, avec un certificat de prévisualisation servant de solution de repli.

Ce guide explique comment obtenir un certificat SSL de type .p12 2048 bits , utile notamment pour SAP, Salesforce, etc. depuis l'infrastructure Infomaniak.

Obtenir un certificat de type p.12

Un certificat de type p.12 est un container qui comprend le certificat, les CA intermédiaires et la clé elle-même.

Il est possible de réaliser soi-même ce type de certificat à partir de ce qui peut être téléchargé depuis le Manager Infomaniak:

• Commandez un certificat pour le domaine sap.domain.xyz en fournissant une CSR (ce qui signifie avoir la clé privée auprès de soi, nommée par exemple server.key)
• Téléchargez le certificat généré dans le Manager Infomaniak: sap.domain.xyz-15-03-2024.zip
• Décompressez l'archive

• Exécutez

  openssl pkcs12 -export -out server.p12 -inkey server.key -in sap.domain.xyz.crt -certfile ca_bundle.crt

Un fichier server.p12 sera alors obtenu.

Si le certificat a été généré sans CSR c'est le fichier .key présent dans le zip téléchargé qui servira de clé.

Ce guide explique comment ajouter deux Certificats SSL EV ou DV différents sur un même site.

Préambule

• Comme il n'est pas possible d'installer deux certificats SSL sur un même site, il est nécessaire de créer deux sites identiques.

Création du second site

Prérequis

• Retirer tout éventuel nom de domaine alias de votre site.

Afin d'accéder à l'hébergement Web pour y ajouter un site :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur le bouton Ajouter un site:
   
4. Continuez sans installer d'outil.
5. Choisissez entre l'utilisation d'un nom de domaine ou d'un sous-domaine.
6. Indiquez le nom du domaine ou du sous-domaine.
7. Cliquez sur Options avancées.
8. Activez (ou non) le certificat SSL Let's Encrypt sur le futur site.
9. Cochez la case Définir l'emplacement manuellement.
10. Choisissez le même emplacement que celui du site principal:
    
11. Choisissez la même version PHP que le site principal:
12. Cliquez sur le bouton bleu Suivant pour démarrer la création du site.

Installer le certificat SSL

Une fois que le second site est créé (tout ajout / modification peut prendre jusqu'à 48 heures pour se propager), il vous sera possible d'installer un certificat SSL (si vous avez choisi de ne pas installer le certificat au point 8 ci-dessus).

Pour accéder à la gestion du site Web :

1. Cliquez ici afin d'accéder à la gestion de votre produit sur le Manager Infomaniak (besoin d'aide ?).
2. Cliquez directement sur le nom attribué au produit concerné.
3. Cliquez sur Certificats SSL dans le menu latéral gauche.
4. Cliquez sur le bouton bleu Installer un certificat SSL et suivre la procédure.

Ce guide vous concerne si vous rencontrez des problèmes avec un certificat SSL Sectigo de type DV ou EV.

Modification Sectigo (juin 2025)

Depuis juin 2025, Sectigo utilise une nouvelle infrastructure de validation appelée MPIC, qui réalise les vérifications nécessaires à l’émission des certificats SSL (notamment EV et OV) depuis des serveurs situés dans le monde entier, et plus uniquement depuis les États-Unis.

Un challenge est une méthode utilisée par l’autorité de certification pour vérifier que le demandeur contrôle bien le domaine. Cela peut passer par une requête HTTP, un enregistrement DNS ou un e-mail. Pour les certificats EV et OV, ce challenge est combiné à des vérifications sur l’identité de l’organisation.

Avec cette nouvelle méthode, les requêtes de validation peuvent provenir de n’importe quel pays ou fournisseur d’accès. Si votre site ou serveur utilise des règles de géoblocage, un pare-feu applicatif (WAF), ou un service comme Cloudflare avec des restrictions d'accès par pays ou ASN, ces vérifications risquent d’être bloquées, causant un échec dans la validation.

Même si Sectigo parle principalement des certificats OV et EV, cette évolution peut aussi affecter indirectement les certificats DV, puisque la validation de domaine repose toujours sur la possibilité d’accéder aux ressources nécessaires.